CVE-2023-34242
NiskieCVSS 3.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Cilium, rozwiązanie do sieci, obserwowalności i bezpieczeństwa, przed wersją 1.13.4 miało lukę, która pozwalała na niezamierzone uzyskanie dostępu do sekretów i usług w różnych przestrzeniach nazw, gdy włączono API Gateway. Brak kontroli nad przestrzenią nazw przy tworzeniu ReferenceGrant umożliwiał atakującym wykorzystanie sekretów, które nie powinny być dla nich widoczne.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych danych i usług, co może prowadzić do poważnych incydentów bezpieczeństwa. Atakujący mogą wykorzystać tę lukę do komunikacji z usługami, do których nie mają uprawnień.
Rekomendacja
Zaleca się aktualizację Cilium do wersji 1.13.4 lub nowszej. Alternatywnie, należy ograniczyć tworzenie zasobów ReferenceGrant do użytkowników administracyjnych za pomocą RBAC w Kubernetes.
Inne podatności w Cilium
Zobacz wszystkie- CVE-2026-41520Wysokie
Cilium, rozwiązanie do sieci, obserwowalności i bezpieczeństwa, przed wersjami 1.17.15, 1.18.9 i 1.19.3, mogło generować dane wrażliwe w wyniku działania narzędzia cilium-bugtool w środowiskach z włączonym szyfrowaniem WireGuard.
- CVE-2026-49445Krytyczne
W Cilium przed wersjami 1.17.14, 1.18.8 i 1.19.2, gdy włączona jest funkcjonalność L7, wbudowana lub samodzielna instancja Envoy tworzy globalnie dostępny gniazdo admin.sock na węzłach klastra. Umożliwia to lokalnemu atakującemu dostęp do punktów końcowych administracyjnych Envoy, ujawnienie tajemnic TLS, zakłócenie ruchu w klastrze lub zatrzymanie Envoy.
- CVE-2026-56743Średnie
Podatność w Cilium od wersji 1.19.0 do 1.19.4 powoduje, że reguły NetworkPolicy Kubernetes oparte na CIDR bez selektorów podów lub przestrzeni nazw błędnie generują regułę zezwalającą na ruch z wszystkich zasobów w tej samej przestrzeni nazw, gdy Cilium jest skonfigurowane z niestandardową nazwą klastra.
- CVE-2026-56742Średnie
Podatność w Cilium umożliwia użytkownikom z uprawnieniami do tworzenia lub aktualizowania HTTPRoutes w przestrzeni nazw na mirrorowanie ruchu HTTP do dowolnego Serwisu w dowolnej przestrzeni nazw, z pominięciem mechanizmu autoryzacji ReferenceGrant. Funkcjonalność Gateway API jest domyślnie wyłączona.
- CVE-2026-53935Średnie
Podatność w Cilium pozwala użytkownikom z uprawnieniami do tworzenia CiliumLocalRedirectPolicies na przechwytywanie ruchu do serwisów w dowolnej przestrzeni nazw poprzez określenie dowolnych adresów ClusterIP w polu addressMatcher. Usunięcie takiej polityki może również uszkodzić wewnętrzny stan serwisu Cilium i zatrzymać translację ruchu dla dotkniętego serwisu.
Oryginalny opis (angielski, źródło NVD)
Cilium is a networking, observability, and security solution with an eBPF-based dataplane. Prior to version 1.13.4, when Gateway API is enabled in Cilium, the absence of a check on the namespace in which a ReferenceGrant is created could result in Cilium unintentionally gaining visibility of secrets (including certificates) and services across namespaces. An attacker on an affected cluster can leverage this issue to use cluster secrets that should not be visible to them, or communicate with services that they should not have access to. Gateway API functionality is disabled by default. This vulnerability is fixed in Cilium release 1.13.4. As a workaround, restrict the creation of `ReferenceGrant` resources to admin users by using Kubernetes RBAC.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS