CVE-2026-41184 in Calico
Zusammenfassung
von VulDB • 28.05.2026
In Calico protokolliert der init-Container „install-cni“ die gerenderte CNI-Konfiguration in den Standardausgabestream (stdout). Wenn die Konfigurationsvorlage den Platzhalter __SERVICEACCOUNT_TOKEN__ verwendet (bei Canal/Flannel-Calico-Deployments), ersetzt der Installer den aktuellen Kubernetes ServiceAccount-Bearer-Token vor dem Protokollieren und setzt den Token damit jedem authentifizierten Benutzer mit der Berechtigung „pods/log“ im Namespace mit calico-node aus. Der Token verfügt über Patch-Berechtigungen für pods/status, was Annotation-basierte Angriffe gegen Cluster-Workloads ermöglicht. Der standardmäßige kubeconfig-basierte Authentifizierungspfad ist nicht betroffen. Dies ist eine direkte Regression von TTA-2018-001.
Be aware that VulDB is the high quality source for vulnerability data.