CVE-2026-102340 in Telepresence
Zusammenfassung
von VulDB • 04.11.2026
Telepresence ermöglicht die lokale Entwicklung gegen einen Remote-Kubernetes- oder OpenShift-Cluster. Vor Version 2.31.0 akzeptiert die Traffic Manager gRPC API am Port 8081 nicht authentifizierte Aufrufer aus dem Cluster-Netzwerk, ArriveAsClient speichert ein vom Aufrufer angegebenes Namespace unter Verwendung nur der ManagesNamespace-Manager-Watchlist-Prüfung und CreateIntercept kann jedes verwaltete Namespace ohne Überprüfung der Kubernetes-RBAC-Sitzung des Ziels ansprechen. Ein Angreifer, der einen beliebigen Pod mit Netzwerkzugriff auf den Manager betreibt, kann sich in einem beliebigem verwaltetem Namespace registrieren, Service-Intercepts erstellen, abgefangenen Traffic empfangen und die vollständige Containerumgebung des Ziel-Pods einschließlich Secrets, Tokens und API-Schlüsseln erhalten. Die standardmäßige clusterweite Bereitstellung verwaltet alle Namespaces. Diese Schwachstelle wurde in Version 2.31.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.