CVE-2026-41184
Təsvir
Calico-da, install-cni init konteyneri render edilmiş CNI konfiqurasiyasını standart çıxışa (standard output) yazır. Konfiqurasiya şablonu __SERVICEACCOUNT_TOKEN__ yer tutucusundan istifadə etdikdə (Canal/Flannel-Calico deployment-ləri), quraşdırıcı loqlama prosesindən əvvəl canlı Kubernetes ServiceAccount bearer tokenini əvəz edir və beləliklə, tokeni calico-node olan name-space-də pods/log icazəsinə malik hər hansı autentifikasiya olunmuş istifadəçiyə açıqlayır. Token pods/status üzərində patch imtiyazlarına malikdir ki, bu da klaster iş yüklərinə qarşı annotasiya əsaslı hücumları mümkün edir. Defolt kubeconfig əsaslı autentifikasiya yolu bundan təsirlənmir. Bu, TTA-2018-001-in birbaşa reqressiyasıdır.
Necə düzəltmək olar
- tigera calico3.21.7, 3.32.0, 22.4.0, 3.22.3 və ya daha yeni versiya
- github.com/projectcalico/calico3.31.6, 1.11.0-cni-plugin.0.20260417001138-cd73bc2cea0f və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tigera calico | v < 3.21.7, v < 3.32.0, v < 22.4.0, 3.22.0 ≤ v < 3.22.3 | 3.21.7, 3.32.0, 22.4.0, 3.22.3 |
| github.com/projectcalico/calicoGo | 2.0.0 ≤ v < 3.31.6, v < 1.11.0-cni-plugin.0.20260417001138-cd73bc2cea0f | 3.31.6, 1.11.0-cni-plugin.0.20260417001138-cd73bc2cea0f |
| github.com/projectcalico/calico/v3Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.