CVE-2026-6720 in Calico
Resumen
por VulDB • 2026-05-28
Cuando se invoca calicoctl con --log-level=info o --log-level=debug, el cliente imprime el contenido completo de su estructura de configuración de conexión cargada en stderr en una única línea de registro. La estructura incluye todas las credenciales que calicoctl utiliza para comunicarse con el clúster: kubeconfig en línea (con token portador), token portador de la API de Kubernetes, contraseña de etcd y certificado de cliente etcd y clave codificados en PEM en línea. Cualquier lector de ese flujo de stderr —registros de trabajos CI, archivos de grabación de sesiones, transcripciones compartidas de tickets de soporte o visores del sistema de archivos local en el host que ejecutó calicoctl— puede extraer estas credenciales con privilegios cero de Kubernetes. El nivel de registro predeterminado de calicoctl es panic, por lo que este problema solo se activa cuando el registro detallado está habilitado explícitamente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.