CVE-2026-41186
Təsvir
Caliconun ortaq debug serveri aktiv edildikdə (defolt olaraq deaktivdir), Calico kube-controllers və Goldmane komponentləri öz Go pprof debug dinləyicisini autentifikasiya olmadan 0.0.0.0 ünvanına bağlayır. Dinləyiciyə şəbəkə vasitəsilə müraciət edə bilən hər hansı pod proses yığınıncağına (heap), goroutine steklərinə (funksiya arqumentləri daxil olmaqla) və əmr sətri arqumentlərinə çıxış əldə edə bilər. Prosesin yaddaşdakı vəziyyətindən asılı olaraq, yığıncaq həssas məlumatlar ehtiva edə bilər. Debug dinləyicisi istəyə bağlıdır, lakin aktiv edildikdə təhlükəlidir, çünki heç bir autentifikasiya və yalnız localhost-a bağlanma seçimi təklif etmir.
Necə düzəltmək olar
- tigera calico3.21.7, 3.31.6, 3.22.4, 3.32.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tigera calico | v < 3.21.7, v < 3.31.6, v ≤ 22.4.0, 3.22.0 ≤ v < 3.22.4, 3.32.0 ≤ v < 3.32.1 | 3.21.7, 3.31.6, 3.22.4, 3.32.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.