Une requête AXFR visant une zone CoreDNS configurée avec `k8s_external` peut provoquer un panic si un service headless Kubernetes possède un endpoint sans port déclaré. Le défaut peut perturber les requêtes DNS et amplifier les journaux ; avec le plugin `debug`, il peut faire tomber le processus CoreDNS.
Analyse technique
Le transfert `k8s_external` peut émettre un lot vide d’enregistrements DNS ; le plugin `transfer` accède à son premier élément sans vérifier que le lot n’est pas vide. En mode CoreDNS normal, le panic est récupéré et renvoyé sous forme de SERVFAIL ; le plugin `debug` peut désactiver cette récupération.
Impact, versions et correctif
Détection / vérification
Rechercher les configurations CoreDNS utilisant `k8s_external` avec transferts de zone pour des services headless ; examiner les journaux et redémarrages de CoreDNS en cas de requêtes AXFR répétées ou d’erreurs SERVFAIL.
Action recommandée
Mettre à niveau CoreDNS vers 1.14.5. Examiner en priorité les déploiements utilisant `k8s_external` et les transferts de zones AXFR/IXFR.
Sources
Priorisation DFS : P4 · 1 source(s).