CVE-2022-36103 in Talos Linux
Résumé
par VulDB • 27/05/2026
Talos Linux est une distribution Linux conçue pour les déploiements Kubernetes. Les nœuds workers Talos utilisent un jeton d'adhésion (join token) pour être acceptés dans le cluster Talos. En raison d'une validation incorrecte de la requête lors de la signature d'une demande de signature de certificat (CSR) pour un nœud worker, le nœud du plan de contrôle Talos peut délivrer un certificat API Talos qui permet un accès complet à l'API Talos sur un nœud du plan de contrôle. L'accès à l'API Talos avec un niveau d'accès complet sur un nœud du plan de contrôle peut révéler des informations sensibles permettant d'obtenir un accès complet au cluster (PKI Kubernetes et Talos, etc.). Le jeton d'adhésion de l'API Talos est stocké dans la configuration de la machine sur le nœud worker. Lorsqu'il est correctement configuré, les charges de travail Kubernetes n'ont pas accès à la configuration de la machine, mais en raison d'une mauvaise configuration, une charge de travail peut accéder à la configuration de la machine et révéler le jeton d'adhésion. Ce problème a été corrigé dans Talos 1.2.2. L'activation des normes de sécurité des pods (Pod Security Standards) atténue la vulnérabilité en refusant par défaut les montages hostPath et le réseau hôte dans la politique de base (baseline policy). Les clusters qui n'exécutent pas de charges de travail non fiables ne sont pas affectés. Les clusters disposant de configurations de sécurité des pods correctes qui n'autorisent pas les montages hostPath et sécurisent l'accès au serveur de métadonnées cloud (ou dont la configuration de la machine n'est pas fournie via le serveur de métadonnées cloud) ne sont pas affectés.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.