CVE-2026-33413

etcd paylanmış sistemlərin məlumatları üçün nəzərdə tutulmuş paylanmış açar-dəyər anbarıdır. 3.4.42, 3.5.28 və 3.6.9 versiyalarından əvvəlki versiyalarda, gRPC API-ni etibarsız və ya qismən etibarlı müştərilərə açan klasterlərdə səlahiyyətsiz istifadəçilər autentifikasiya və ya avtorizasiya yoxlamalarını yan keçə və müəyyən etcd funksiyalarını çağıra bilərlər. etcd auth aktiv edilmiş yamalanmamış etcd klasterlərində səlahiyyətsiz istifadəçilər MemberList funksiyasını çağıraraq üzv ID-ləri və elan edilmiş son nöqtələr də daxil olmaqla klaster topologiyasını öyrənə; əməliyyat pozuntuları və ya xidmətdən imtina üçün istismar edilə bilən Alarm funksiyasını çağıra; TTL əsaslı açarlara və lizinq mülkiyyətinə müdaxilə edərək Lease API-lərindən istifadə edə və/və ya kompaktlaşdırmanı tətikləyərək tarixi reviziyaları qalıcı olaraq silə və izləmə, audit və bərpa iş axınlarını poza bilərlər. Kubernetes etcd-nin daxili autentifikasiya və avtorizasiyasından istifadə etmir. Bunun əvəzinə, API server autentifikasiya və avtorizasiyanı özü idarə edir, buna görə də tipik Kubernetes tətbiqləri bundan təsirlənmir. 3.4.42, 3.5.28 və 3.6.9 versiyaları düzəliş (patch) ehtiva edir. Təkmilləşdirmə dərhal mümkün deyilsə, təsirlənmiş RPC-ləri praktikada autentifikasiya olunmamış kimi qəbul edərək riskləri azaldın. etcd server portlarına şəbəkə girişini məhdudlaşdırın ki, yalnız etibarlı komponentlər qoşula bilsin və/və ya nəqliyyat təbəqəsində ciddi şəkildə məhdudlaşdırılmış müştəri sertifikatlarının paylanması ilə mTLS kimi güclü müştəri kimliyini tələb edin.