CoreDNS is a DNS server that chains plugins. Prior to version 1.14.0, multiple CoreDNS server implementations (gRPC, HTTPS, and HTTP/3) lack critical resource-limiting controls. An unauthenticated remote attacker can exhaust memory and degrade or crash the server by opening many concurrent connections, streams, or sending oversized request bodies. The issue is similar in nature to CVE-2025-47950 (QUIC DoS) but affects additional server types that do not enforce connection limits, stream limits, or message size constraints. Version 1.14.0 contains a patch.
CoreDNS versions prior to 1.14.0 contain a critical resource exhaustion vulnerability (CVE-2025-68151) affecting gRPC, HTTPS, and HTTP/3 server implementations. Unauthenticated remote attackers can exhaust server memory and cause denial of service by opening numerous concurrent connections, streams, or sending oversized request bodies due to missing resource-limiting controls. Organizations must upgrade to version 1.14.0 immediately to mitigate this high-severity threat.
تمثل هذه الثغرة خللاً أمنياً خطيراً في خوادم CoreDNS حيث تفتقر تطبيقات الخوادم المتعددة (gRPC وHTTPS وHTTP/3) إلى ضوابط حاسمة لتقييد الموارد. يستغل المهاجمون هذا الضعف من خلال فتح عدد كبير من الاتصالات أو التدفقات المتزامنة أو إرسال أجسام طلبات ضخمة الحجم دون مصادقة، مما يؤدي إلى استنزاف ذاكرة الخادم وتدهور الأداء أو تعطل الخدمة بالكامل. تصنف الثغرة ضمن CWE-770 (تخصيص الموارد دون حدود أو تقييد)، وتشبه في طبيعتها الثغرة CVE-2025-47950 ولكنها تؤثر على أنواع خوادم إضافية. يتوفر تصحيح رسمي في الإصدار 1.14.0 يعالج هذه المشكلة من خلال فرض حدود على الاتصالات والتدفقات وأحجام الرسائل.
تحتوي إصدارات CoreDNS السابقة للإصدار 1.14.0 على ثغرة حرجة لاستنزاف الموارد (CVE-2025-68151) تؤثر على تطبيقات خوادم gRPC وHTTPS وHTTP/3. يمكن للمهاجمين عن بُعد غير المصادق عليهم استنزاف ذاكرة الخادم والتسبب في رفض الخدمة من خلال فتح اتصالات أو تدفقات متزامنة متعددة أو إرسال أجسام طلبات ضخمة بسبب غياب ضوابط تقييد الموارد. يجب على المؤسسات الترقية إلى الإصدار 1.14.0 فوراً للحد من هذا التهديد عالي الخطورة.
1. Immediately upgrade all CoreDNS instances to version 1.14.0 or later to apply the official patch that implements resource-limiting controls for gRPC, HTTPS, and HTTP/3 servers.
2. Implement network-level rate limiting and connection throttling using firewalls, load balancers, or reverse proxies to restrict concurrent connections from single sources until patching is complete.
3. Monitor CoreDNS server resource utilization (memory, CPU, connection counts) using SIEM solutions and establish alerts for abnormal spikes that may indicate exploitation attempts or DoS attacks.
1. الترقية الفورية لجميع نسخ CoreDNS إلى الإصدار 1.14.0 أو أحدث لتطبيق التصحيح الرسمي الذي يطبق ضوابط تقييد الموارد لخوادم gRPC وHTTPS وHTTP/3.
2. تطبيق تقييد معدل الطلبات وخنق الاتصالات على مستوى الشبكة باستخدام جدران الحماية أو موازنات الأحمال أو الوكلاء العكسيين لتقييد الاتصالات المتزامنة من مصادر فردية حتى اكتمال التصحيح.
3. مراقبة استخدام موارد خوادم CoreDNS (الذاكرة، المعالج، عدد الاتصالات) باستخدام حلول SIEM وإنشاء تنبيهات للارتفاعات غير الطبيعية التي قد تشير إلى محاولات استغلال أو هجمات رفض الخدمة.