CVE-2026-41186
Açıklama
Calico'nun paylaşılan hata ayıklama sunucusu etkinleştirildiğinde (varsayılan olarak devre dışıdır), Calico kube-controllers ve Goldmane bileşenleri Go pprof hata ayıklama dinleyicilerini kimlik doğrulama olmaksızın 0.0.0.0 adresine bağlar. Dinleyiciye ağ erişimi olan herhangi bir pod; işlem yığınını (heap), fonksiyon argümanları dahil olmak üzere goroutine yığınlarını ve komut satırı argümanlarını alabilir. İşlemin bellek içi durumuna bağlı olarak, yığın hassas materyaller içerebilir. Hata ayıklama dinleyicisi isteğe bağlıdır ancak herhangi bir kimlik doğrulama veya güvenli yalnızca yerel ana bilgisayar (localhost) bağlama seçeneği sunmadığı için etkinleştirildiğinde güvensizdir.
Nasıl düzeltilir
- tigera calico3.21.7, 3.31.6, 3.22.4, 3.32.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tigera calico | v < 3.21.7, v < 3.31.6, v ≤ 22.4.0, 3.22.0 ≤ v < 3.22.4, 3.32.0 ≤ v < 3.32.1 | 3.21.7, 3.31.6, 3.22.4, 3.32.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.