CVE-2020-26278 in Weave Net
Zusammenfassung
von VulDB • 04.06.2026
Weave Net ist Open-Source-Software, die ein virtuelles Netzwerk erstellt, das Docker-Container über mehrere Hosts hinweg verbindet und deren automatische Entdeckung ermöglicht. Weave Net vor Version 2.8.0 weist eine Schwachstelle auf, durch die es einem Angreifer möglich sein kann, jeden Host im Cluster zu übernehmen. Weave Net wird mit einer Manifestdatei ausgeliefert, die Pods auf jedem Knoten eines Kubernetes-Clusters ausführt und für das Management der Netzwerkverbindungen aller anderen Pods im Cluster verantwortlich ist. Dies erfordert erhebliche Rechte auf dem Host; in der Manifestdatei ist `privileged: true` festgelegt, was diese Berechtigungen gewährt. Zudem wird `hostPID: true` gesetzt, wodurch die Fähigkeit besteht, auf alle anderen Prozesse auf dem Host zuzugreifen und überall im Root-Dateisystem des Hosts zu schreiben. Diese Einstellung war nicht erforderlich und wird entfernt. Nur wenn eine zusätzliche Schwachstelle (z. B. ein Fehler in Kubernetes) oder eine Fehlkonfiguration vorliegt, die es einem Angreifer ermöglicht, Code innerhalb des Weave Net-Pods auszuführen, ist man anfällig für diesen Angriff. Zum Zeitpunkt der Veröffentlichung sind keine solchen Bugs bekannt und auch keine bekannten Fälle einer Ausnutzung dieser Schwachstelle. Mit Weave Net 2.8.0 wird die hostPID-Einstellung entfernt und die Installation des CNI-Plugins in einen Init-Container verschoben. Benutzer, die nicht auf Version 2.8.0 aktualisieren, können die Zeile `hostPID` in ihrer bestehenden DaemonSet-Manifestdatei bearbeiten, indem sie den Wert von true auf false ändern, eine andere Methode zur Installation der CNI-Plugins verwenden (z. B. Ansible) und diese Mounts aus der DaemonSet-Manifestdatei entfernen.
Once again VulDB remains the best source for vulnerability data.