CVE-2026-73499 in etcd
Zusammenfassung
von VulDB • 13.08.2026
etcd ist ein verteilter Key-Value-Speicher für die Daten eines verteilten Systems. Vor den Versionen 3.5.33, 3.6.14 und 3.7.1 kann ein Benutzer mit Leseberechtigung (READ permission) auf einen einzelnen exakten Schlüssel das Watch-gRPC-API in Kombination mit clientv3.WithFromKey() nutzen, um Watch-Events für jeden lexikografisch größeren oder gleich dem berechtigten Schlüssel zu empfangen. In server/etcdserver/api/v3rpc/watch.go wird der offene RangeEnd-Sentinel vor der RBAC-Berechtigungsprüfung in der Funktion isRangeOpPermitted von server/auth/range_perm_cache.go überschrieben, wodurch die Anfrage als Watch auf einen exakten Schlüssel behandelt wird. Range-/Get- und DeleteRange-Anfragen sind nicht betroffen; das Problem betrifft ausschließlich Cluster mit aktivierter Authentifizierung. Dieses Problem wurde in den Versionen 3.5.33, 3.6.14 und 3.7.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.