CVE-2026-41187
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność w Calico pozwala użytkownikowi posiadającemu uprawnienie deletecollection lub wildcard na tier-scoped policy resources na masowe usuwanie polityk w tierach, do których nie ma uprawnień. Dzieje się tak, ponieważ metoda Delete dla NetworkPolicy, GlobalNetworkPolicy i ich wariantów nie jest wywoływana dla żądań DeleteCollection, co omija autoryzację AuthorizeTierOperation.
Ocena ryzyka
Ryzyko polega na możliwości naruszenia granic autoryzacji tierów, co może prowadzić do nieautoryzowanego usunięcia polityk sieciowych i osłabienia bezpieczeństwa klastra.
Rekomendacja
Należy zastosować poprawkę od producenta Calico, która zapewnia prawidłowe wywoływanie autoryzacji dla żądań DeleteCollection.
Inne podatności w Calico
Zobacz wszystkie- CVE-2026-6540Wysokie
Podatność w Calico Application Layer Policy (domyślnie wyłączona) polega na braku normalizacji ścieżek URL, co pozwala atakującemu na ominięcie reguł Prefix path poprzez użycie segmentów path-traversal, zakodowanych ukośników lub powtórzonych ukośników, umożliwiając dostęp do ograniczonych endpointów HTTP.
- CVE-2026-41186Wysokie
Podatność w Calico dotyczy opcjonalnego serwera debugowania (pprof), który po włączeniu nasłuchuje na 0.0.0.0 bez autoryzacji. Każdy pod mający dostęp sieciowy do tego serwera może odczytać stertę procesu, stosy gorutyn (w tym argumenty funkcji) oraz argumenty wiersza poleceń, co może ujawnić wrażliwe dane.
Oryginalny opis (angielski, źródło NVD)
Calico's apiserver wraps tier-scoped resources so that every operation runs through AuthorizeTierOperation, but the Delete override on NetworkPolicy, GlobalNetworkPolicy, and their staged variants is not invoked for DeleteCollection requests. A user holding the deletecollection verb or wildcard verbs on tier-scoped policy resources can bulk-delete policies in tiers they otherwise have no rights on, breaking the tier authorization boundary.