Points cl\u00e9s<\/p>\n
- \n
- CVE-2026-62299 (rewrite) :<\/strong> Retour EDNS0 sans v\u00e9rification de valeur nulle. Une requ\u00eate ordinaire peut d\u00e9clencher une panique ou une r\u00e9ponse SERVFAIL. Correction : CoreDNS 1.14.5. Score CVSS 5,3 (CNA).<\/li>\n
- CVE-2026-62309 (proxyproto) :<\/strong> En-t\u00eate PROXY v2 avec un transport non-UDP. Un paquet UDP de 28 octets peut interrompre le processus. Correction : version 1.14.4. Score CVSS 7,5 (CNA).<\/li>\n
- Condition :<\/strong> Les installations concern\u00e9es sont celles o\u00f9 les plugins respectifs sont activ\u00e9s et accessibles. De nombreux clusters Kubernetes utilisent CoreDNS par d\u00e9faut.<\/li>\n
- Action imm\u00e9diate :<\/strong> V\u00e9rifier la version et le fichier Corefile, passer \u00e0 la version 1.14.5 (qui couvre les deux corrections), et ne laisser le protocole ProxyProto qu\u2019en aval de load-balancers de confiance.<\/li>\n<\/ul>\n<\/div>\n
Contexte :<\/strong> 622 CVE : prioriser plut\u00f4t que patcher dans la panique<\/a> \u00b7 Une faille CI\/CD a publi\u00e9 le chargeur de botnet AsyncAPI<\/a> \u00b7 Mini Shai-Hulud : un ver npm d\u00e9vore la cha\u00eene d\u2019approvisionnement<\/a><\/p>\n
\nQu\u2019est-ce que l\u2019incident CoreDNS ?<\/strong> Deux pointeurs nuls dans les plugins rewrite (retour EDNS0, CVE-2026-62299, correction dans la version 1.14.5) et proxyproto (PROXY v2, CVE-2026-62309, correction dans la version 1.14.4) permettent des attaques par d\u00e9ni de service \u00e0 distance contre des instances CoreDNS accessibles. Les op\u00e9rateurs doivent v\u00e9rifier le fichier Corefile, la version et la surface d\u2019attaque, puis effectuer une mise \u00e0 jour vers la version 1.14.5 ou ult\u00e9rieure.<\/p>\n<\/div>\n
Ce que d\u00e9clenchent techniquement les deux vuln\u00e9rabilit\u00e9s<\/h2>\n
CoreDNS constitue la couche DNS pour les services et les pods dans de nombreux stacks Kubernetes et cloud-native. Les vuln\u00e9rabilit\u00e9s se situent dans deux plugins sp\u00e9cifiques et interviennent dans le traitement des r\u00e9ponses et des paquets.<\/p>\n
CVE-2026-62299<\/strong> concerne le plugin rewrite avant la version 1.14.5. Dans le cas de r\u00e8gles EDNS0 avec l’option revert, les r\u00e8gles de r\u00e9ponse acc\u00e8dent \u00e0 res.IsEdns0() et d\u00e9r\u00e9f\u00e9rencent le r\u00e9sultat sans v\u00e9rification de nil, lorsqu’un plugin en aval fournit une r\u00e9ponse sans enregistrement OPT. Un client distant non authentifi\u00e9 peut, avec une requ\u00eate DNS appropri\u00e9e, provoquer une panique dans le ResponseReverter. Cons\u00e9quence : un SERVFAIL et une perte de disponibilit\u00e9. Avec le recovery d\u00e9sactiv\u00e9 via la directive debug, le processus peut s’arr\u00eater brutalement. Source : NVD et GitHub Advisory GHSA-9pmm-cxww-rrr7, score CNA-CVSS 5.3 (Disponibilit\u00e9 Faible).<\/p>\n
CVE-2026-62309<\/strong> affecte proxyproto avant la version 1.14.4. Un seul datagramme UDP de 28 octets contenant un en-t\u00eate PROXY-v2 et un transport non-UDP (par exemple, un octet de famille 0x11) entra\u00eene un pointeur nil dans PacketConn.ReadFrom lors de l’enregistrement de addr.String(), avant que le recovery de ServeDNS ne s’applique. Score CNA-CVSS 7.5 (Disponibilit\u00e9 \u00c9lev\u00e9e). Source : NVD et GHSA-9rvv-m5g5-wc8r.<\/p>\n
\n28<\/div>\nOctets suffisent pour provoquer le crash via proxyproto (CVE-2026-62309)<\/p>\n
Source : NVD \/ GitHub Security Advisory<\/p>\n<\/div>\n
Pourquoi cela impacte le plan de contr\u00f4le<\/h2>\n
Les pannes DNS au sein d\u2019un cluster agissent comme un multiplicateur silencieux : la d\u00e9couverte de services se bloque, les sidecars et les contr\u00f4leurs d\u2019entr\u00e9e perdent leurs cibles, les v\u00e9rifications d\u2019\u00e9tat \u00e9chouent. Une attaque par d\u00e9ni de service (DoS) contre CoreDNS paralyse ainsi la capacit\u00e9 op\u00e9rationnelle des charges de travail qui en d\u00e9pendent.<\/p>\n
Les deux vuln\u00e9rabilit\u00e9s sont class\u00e9es CWE-476 (r\u00e9f\u00e9rence de pointeur NULL). Elles concernent la disponibilit\u00e9. Selon les vecteurs CNA, la confidentialit\u00e9 et l\u2019int\u00e9grit\u00e9 des donn\u00e9es ne sont pas affect\u00e9es. La priorit\u00e9 reste \u00e9lev\u00e9e lorsque CoreDNS constitue la seule couche de r\u00e9solution DNS du cluster et qu\u2019il est dimensionn\u00e9 sans budget de disruption pour les pods.<\/p>\n
Le cadre CISA-SSVC attribue \u00e0 la CVE-2026-62299 les indicateurs automatable=yes<\/em> et exploitation=poc<\/em>. Pour la CVE-2026-62309, il s\u2019agit de automatable=yes<\/em> et exploitation=none<\/em> (\u00e9tat actuel de l\u2019enrichissement de l\u2019avis). Pour les op\u00e9rateurs, l\u2019enjeu r\u00e9side dans la surface d\u2019attaque accessible : r\u00e8gles de r\u00e9\u00e9criture avec retour \u00e0 EDNS0 et proxyproto expos\u00e9 avant l\u2019application du correctif.<\/p>\n
Contexte DACH :<\/em> CoreDNS est un serveur DNS largement utilis\u00e9 dans les environnements Kubernetes en Europe germanophone (DACH – Allemagne, Autriche, Suisse). Le CISA-SSVC<\/em> (Stakeholder-Specific Vulnerability Categorization) est un cadre am\u00e9ricain pour \u00e9valuer les vuln\u00e9rabilit\u00e9s en fonction de leur impact et de leur exploitabilit\u00e9, tandis que le CNA<\/em> (CVE Numbering Authority) d\u00e9signe les organisations habilit\u00e9es \u00e0 attribuer des identifiants CVE.<\/p>\n
Ce que les \u00e9quipes doivent v\u00e9rifier d\u00e8s maintenant<\/h2>\n
Premi\u00e8re \u00e9tape : l\u2019inventaire. Quelle version de CoreDNS tourne dans vos clusters ? Quels plugins sont activ\u00e9s dans le Corefile ? proxyproto<\/em> est relativement r\u00e9cent et souvent utile uniquement derri\u00e8re des load-balancers. Quant \u00e0 rewrite<\/em> avec EDNS0-revert<\/em>, c\u2019est une configuration plus sp\u00e9cifique – et c\u2019est pr\u00e9cis\u00e9ment l\u00e0 que se niche la vuln\u00e9rabilit\u00e9 CVE-62299.<\/p>\n
\nChecklist pour les op\u00e9rateurs<\/p>\n
- \n
- ✓<\/span>Recenser le tag de l\u2019image CoreDNS et la version du chart\/op\u00e9rateur dans tous les clusters<\/li>\n
- ✓<\/span>Analyser le Corefile \u00e0 la recherche des plugins rewrite<\/em> (EDNS0 + revert) et proxyproto<\/em><\/li>\n
- ✓<\/span>Mettre \u00e0 jour vers la version 1.14.5 (ou un backport distribu\u00e9 incluant les deux correctifs)<\/li>\n
- ✓<\/span>Restreindre l\u2019acc\u00e8s \u00e0 proxyproto<\/em> aux seuls r\u00e9seaux de load-balancers de confiance<\/li>\n
- ✓<\/span>Surveiller les logs de CrashLoop<\/em>\/Panic<\/em> et la latence DNS apr\u00e8s le d\u00e9ploiement<\/li>\n<\/ul>\n<\/div>\n
Si vous utilisez un service Kubernetes manag\u00e9, consultez le journal des modifications de la control plane<\/em> fourni par votre prestataire. Pour les d\u00e9ploiements auto-g\u00e9r\u00e9s ou les distributions on-premise<\/em>, la responsabilit\u00e9 des correctifs vous incombe. Commencez par les clusters de staging avec les m\u00eames plugins Corefile, puis passez \u00e0 la production avec un d\u00e9ploiement contr\u00f4l\u00e9.<\/p>\n
Gestion des correctifs sans pr\u00e9cipitation<\/h2>\n
Deux vuln\u00e9rabilit\u00e9s dans des plugins en une seule journ\u00e9e : de quoi d\u00e9clencher une alerte group\u00e9e. La m\u00e9thode la plus fiable reste pourtant la m\u00eame : \u00e9valuer la surface d’attaque et la fen\u00eatre de correction, puis \u00e9tablir les priorit\u00e9s. Les clusters expos\u00e9s via un chemin DNS public et utilisant le protocole proxyproto passent avant ceux dot\u00e9s d’une r\u00e9\u00e9criture interne sans retour \u00e0 EDNS0. Les correctifs sont d\u00e9j\u00e0 disponibles – la version 1.14.4 pour proxyproto, la 1.14.5 pour rewrite. Ceux qui mettent d\u00e9j\u00e0 \u00e0 jour peuvent directement adopter la branche la plus r\u00e9cente.<\/p>\n
Pour suivre les sources primaires : les entr\u00e9es NVD pour les CVE-2026-62299 et CVE-2026-62309, les avis de s\u00e9curit\u00e9 GitHub, ainsi que les tags de release CoreDNS v1.14.4 et v1.14.5.<\/p>\n
Questions fr\u00e9quentes<\/h2>\n
Chaque question est ferm\u00e9e. Un clic r\u00e9v\u00e8le la r\u00e9ponse.<\/p>\n
\nQuelles versions de CoreDNS sont concern\u00e9es ?<\/strong><\/summary>\n
CVE-2026-62299 : rewrite avant 1.14.5. CVE-2026-62309 : proxyproto avant 1.14.4. Les correctifs sont inclus dans les versions mentionn\u00e9es.<\/p>\n<\/details>\n
\nFaut-il patcher imm\u00e9diatement tous les clusters Kubernetes ?<\/strong><\/summary>\n
D\u00e8s lors que les plugins concern\u00e9s sont actifs et accessibles, priorisez. Sans proxyproto et sans EDNS0-revert dans rewrite, l’exposition pratique diminue – la gestion des versions reste toutefois obligatoire.<\/p>\n<\/details>\n
\nS’agit-il d’une fuite de donn\u00e9es ou d’une ex\u00e9cution de code \u00e0 distance ?<\/strong><\/summary>\n
Selon l’\u00e9valuation de la CNA, les deux CVEs visent la disponibilit\u00e9 (DoS\/Panic). La confidentialit\u00e9 et l’int\u00e9grit\u00e9 ne sont pas affect\u00e9es dans ces vecteurs.<\/p>\n<\/details>\n
\nLa version 1.14.4 suffit-elle comme version cible ?<\/strong><\/summary>\n
1.14.4 corrige proxyproto. Pour rewrite (62299), 1.14.5 est la version de correctif indiqu\u00e9e. Pour couvrir les deux probl\u00e8mes, planifiez 1.14.5 ou ult\u00e9rieur.<\/p>\n<\/details>\n
\nO\u00f9 se trouvent les avis officiels ?<\/strong><\/summary>\n
GitHub Security Advisories GHSA-9pmm-cxww-rrr7 et GHSA-9rvv-m5g5-wc8r, ainsi que NVD et les notes de version de CoreDNS pour v1.14.4\/v1.14.5.<\/p>\n<\/details>\n
\n<\/p>\n
Conseils de lecture de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-15-250x143.jpg\")
<\/span>Conseil de lecture<\/span>622 CVEs : Prioriser plut\u00f4t que paniquer<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/joomla-icagenda-balbooa-kev-upload-rce-cover-hero-250x141.jpg\")
<\/span>Conseil de lecture<\/span>Deux t\u00e9l\u00e9chargements Joomla dans le CISA-KEV<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-12-250x143.jpg\")
<\/span>Conseil de lecture<\/span>CI\/CD a publi\u00e9 le chargeur de botnet AsyncAPI<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-cloudfront-5xx-was-vpc-origins-teams-pru-67055442.jpg\")
<\/span>cloudmagazin<\/span>CloudFront 5xx : Ce que les \u00e9quipes VPC Origins doivent v\u00e9rifier<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-bfsi-datengovernance-banken-ai-ready-dat-62296644-250x139.jpg\")
<\/span>MyBusinessFuture<\/span>\n","protected":false},"excerpt":{"rendered":"CoreDNS : rewrite-EDNS0 et proxyproto permettent un Remote-DoS. Correctifs dans 1.14.5 et 1.14.4 – \u00e0 v\u00e9rifier par les \u00e9quipes clusters.","protected":false},"author":10,"featured_media":22385,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"CoreDNS","_yoast_wpseo_title":"","_yoast_wpseo_metadesc":"CoreDNS rewrite et proxyproto : deux failles DoS (CVE-2026-62299 et CVE-2026-62309). Correctifs 1.14.5\/1.14.4 + liste de contr\u00f4le pour les op\u00e9rateurs.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-22580","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":7,"wpml_language":"fr","wpml_translation_of":22384,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22580","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22580"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22580\/revisions"}],"predecessor-version":[{"id":22581,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22580\/revisions\/22581"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22385"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22580"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22580"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22580"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>Analyser le Corefile \u00e0 la recherche des plugins rewrite<\/em> (EDNS0 + revert) et proxyproto<\/em><\/li>\n
- CVE-2026-62309 (proxyproto) :<\/strong> En-t\u00eate PROXY v2 avec un transport non-UDP. Un paquet UDP de 28 octets peut interrompre le processus. Correction : version 1.14.4. Score CVSS 7,5 (CNA).<\/li>\n