CVE-2026-33413
Açıklama
etcd, dağıtık bir sistemin verileri için kullanılan dağıtık bir anahtar-değer deposudur. 3.4.42, 3.5.28 ve 3.6.9 versiyonlarından önce, gRPC API'sini güvenilmeyen veya kısmen güvenilen istemcilere açan kümelerde yetkisiz kullanıcılar kimlik doğrulama veya yetkilendirme kontrollerini atlayabilir ve belirli etcd fonksiyonlarını çağırabilir. etcd auth özelliğinin etkin olduğu yamalanmamış etcd kümelerinde yetkisiz kullanıcılar; üye kimlikleri ve ilan edilen uç noktalar dahil olmak üzere küme topolojisini öğrenmek için MemberList fonksiyonunu çağırabilir; operasyonel aksaklık veya hizmet reddi için kötüye kullanılabilecek olan Alarm fonksiyonunu çağırabilir; TTL tabanlı anahtarlara ve kira sahipliğine müdahale ederek Lease API'lerini kullanabilir ve/veya geçmiş revizyonları kalıcı olarak kaldırıp izleme, denetim ve kurtarma iş akışlarını bozan sıkıştırmayı (compaction) tetikleyebilir. Kubernetes, etcd'nin yerleşik kimlik doğrulama ve yetkilendirmesine güvenmez. Bunun yerine, kimlik doğrulama ve yetkilendirme işlemlerini API sunucusu kendisi yönettiği için tipik Kubernetes kurulumları etkilenmemektedir. 3.4.42, 3.5.28 ve 3.6.9 versiyonları bir yama içermektedir. Hemen yükseltme yapmak mümkün değilse, etkilenen RPC'leri pratikte kimlik doğrulaması yapılmamış olarak değerlendirerek maruziyeti azaltın. Yalnızca güvenilir bileşenlerin bağlanabilmesi için etcd sunucu portlarına ağ erişimini kısıtlayın ve/veya dar kapsamlı istemci sertifikası dağıtımı ile mTLS gibi taşıma katmanında güçlü istemci kimliği gereksiniminde bulunun.
Nasıl düzeltilir
- etcd etcd3.4.42, 3.5.28, 3.6.9 ya da sonraki bir sürüm
- go.etcd.io/etcd/v33.6.9, 3.5.28, 3.4.42 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| etcd etcd | v < 3.4.42, 3.5.0 ≤ v < 3.5.28, 3.6.0 ≤ v < 3.6.9 | 3.4.42, 3.5.28, 3.6.9 |
| go.etcd.io/etcd/v3Go | 3.6.0-alpha.0 ≤ v < 3.6.9, 3.5.0-alpha.0 ≤ v < 3.5.28, v < 3.4.42 | 3.6.9, 3.5.28, 3.4.42 |
| go.etcd.io/etcdGo | v ≤ 3.3.27, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.