CVE-2026-41186
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność w Calico dotyczy opcjonalnego serwera debugowania (pprof), który po włączeniu nasłuchuje na 0.0.0.0 bez autoryzacji. Każdy pod mający dostęp sieciowy do tego serwera może odczytać stertę procesu, stosy gorutyn (w tym argumenty funkcji) oraz argumenty wiersza poleceń, co może ujawnić wrażliwe dane.
Ocena ryzyka
Ryzyko obejmuje wyciek poufnych informacji z pamięci procesu, takich jak klucze, tokeny czy dane konfiguracyjne, co może prowadzić do naruszenia bezpieczeństwa całego klastra.
Rekomendacja
Zaleca się wyłączenie serwera debugowania, jeśli nie jest niezbędny. Jeśli jest wymagany, należy skonfigurować go tak, aby nasłuchiwał tylko na localhost (127.0.0.1) i zastosować uwierzytelnianie.
Inne podatności w Calico
Zobacz wszystkie- CVE-2026-6540Wysokie
Podatność w Calico Application Layer Policy (domyślnie wyłączona) polega na braku normalizacji ścieżek URL, co pozwala atakującemu na ominięcie reguł Prefix path poprzez użycie segmentów path-traversal, zakodowanych ukośników lub powtórzonych ukośników, umożliwiając dostęp do ograniczonych endpointów HTTP.
- CVE-2026-41187Średnie
Podatność w Calico pozwala użytkownikowi posiadającemu uprawnienie deletecollection lub wildcard na tier-scoped policy resources na masowe usuwanie polityk w tierach, do których nie ma uprawnień. Dzieje się tak, ponieważ metoda Delete dla NetworkPolicy, GlobalNetworkPolicy i ich wariantów nie jest wywoływana dla żądań DeleteCollection, co omija autoryzację AuthorizeTierOperation.
Oryginalny opis (angielski, źródło NVD)
When Calico's shared debug server is enabled (disabled by default), the Calico kube-controllers and Goldmane components bind their Go pprof debug listener to 0.0.0.0 without authentication. Any pod with network reachability to the listener can retrieve the process heap, goroutine stacks (including function arguments), and command-line arguments. Depending on the process's in-memory state, the heap may contain sensitive material. The debug listener is opt-in but is unsafe when enabled because it offers no authentication and no safe localhost-only binding option.