CVE-2026-6540
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w Calico Application Layer Policy (domyślnie wyłączona) polega na braku normalizacji ścieżek URL, co pozwala atakującemu na ominięcie reguł Prefix path poprzez użycie segmentów path-traversal, zakodowanych ukośników lub powtórzonych ukośników, umożliwiając dostęp do ograniczonych endpointów HTTP.
Ocena ryzyka
Atakujący z dostępem sieciowym może uzyskać dostęp do chronionych zasobów HTTP, które powinny być zablokowane przez polityki bezpieczeństwa, co może prowadzić do wycieku danych lub nieautoryzowanych operacji.
Rekomendacja
Zaleca się włączenie normalizacji ścieżek URL w Dikastes lub zastosowanie poprawek dostarczonych przez producenta Calico.
Inne podatności w Calico
Zobacz wszystkie- CVE-2026-41187Średnie
Podatność w Calico pozwala użytkownikowi posiadającemu uprawnienie deletecollection lub wildcard na tier-scoped policy resources na masowe usuwanie polityk w tierach, do których nie ma uprawnień. Dzieje się tak, ponieważ metoda Delete dla NetworkPolicy, GlobalNetworkPolicy i ich wariantów nie jest wywoływana dla żądań DeleteCollection, co omija autoryzację AuthorizeTierOperation.
- CVE-2026-41186Wysokie
Podatność w Calico dotyczy opcjonalnego serwera debugowania (pprof), który po włączeniu nasłuchuje na 0.0.0.0 bez autoryzacji. Każdy pod mający dostęp sieciowy do tego serwera może odczytać stertę procesu, stosy gorutyn (w tym argumenty funkcji) oraz argumenty wiersza poleceń, co może ujawnić wrażliwe dane.
Oryginalny opis (angielski, źródło NVD)
Calico's Application Layer Policy (disabled by default), which enforces HTTP rules through Dikastes, fails to perform URL path normalization. As a result, HTTP requests using path-traversal segments, encoded slashes, or repeated slashes are not correctly evaluated by Prefix path rules. Dikastes authorizes the request under the permitted prefix while the downstream workload or a fronting proxy normalizes the path and serves the restricted endpoint. An attacker with network access and no special RBAC can potentially reach HTTP endpoints the policy was intended to restrict.