CVE-2026-66781
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W operatorze Submariner znaleziono błąd. Zasób niestandardowy Submariner (CR), używany do konfiguracji łączności sieciowej, przechowuje klucz pre-shared IPsec (PSK) w niezaszyfrowanym formacie. Ten klucz, który jest krytyczny dla zabezpieczenia komunikacji między klastrami Kubernetes, może być dostępny dla nieautoryzowanych stron. Taki dostęp umożliwia atakującemu pasywne odszyfrowanie ruchu sieciowego między dowolnymi dwoma klastrami w siatce, co prowadzi do ujawnienia poufnych informacji.
Ocena ryzyka
Ujawnienie klucza PSK może pozwolić atakującemu na odszyfrowanie całego ruchu między klastrami, co prowadzi do poważnego naruszenia poufności danych.
Rekomendacja
Zabezpiecz przechowywanie klucza PSK, np. używając szyfrowania lub zarządzania sekretami, i ogranicz dostęp do zasobu CR.
Inne podatności w Submariner
Zobacz wszystkie- CVE-2026-66786Krytyczne
W Submariner w trybie cert-auth konfiguracja połączenia jest budowana z niesprawdzonych ciągów znaków z definicji CRD. Złośliwy klaster może opublikować CableName zawierający znaki nowej linii i dyrektywy ipsec.conf, co pozwala na wstrzyknięcie dowolnych parametrów konfiguracyjnych lub wykonanie poleceń przez hooki leftupdown, prowadząc do zdalnego wykonania kodu jako root na węźle bramy.
- CVE-2026-66785Niskie
Podatność w Submariner pozwala złośliwemu klastrowi (spoke) na przekierowanie ruchu sieciowego z innych połączonych klastrów poprzez opublikowanie specjalnie spreparowanego punktu końcowego sieci. System nie waliduje poprawnie podsieci sieciowych dostarczonych przez złośliwy klaster, co umożliwia deklarowanie dowolnych zakresów adresów IP.
- CVE-2024-5042Średnie
W projekcie Submariner stwierdzono nadmiarowe uprawnienia kontroli dostępu opartej na rolach. Uprzywilejowany atakujący może uruchomić złośliwy kontener na węźle, co umożliwia kradzież tokenów kont usługowych i dalsze kompromitowanie innych węzłów oraz całego klastra.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Submariner operator. The Submariner Custom Resource (CR), used for configuring network connectivity, stores the IPsec pre-shared key (PSK) in an unencrypted format. This key, which is critical for securing communication between Kubernetes clusters, can be accessed by unauthorized parties. Such access enables an attacker to passively decrypt network traffic flowing between any two clusters in the mesh, resulting in sensitive information disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS