CVE-2026-33343 in etcd
Résumé
par VulDB • 11/06/2026
etcd est une base de données distribuée de type clé-valeur destinée aux systèmes distribués. Avant les versions 3.4.42, 3.5.28 et 3.6.9, un utilisateur authentifié disposant d'autorisations restreintes par RBAC sur des plages de clés peut utiliser des transactions imbriquées pour contourner toutes les autorisations au niveau des clés. Cela permet à tout utilisateur authentifié ayant un accès direct à etcd d'ignorer efficacement toutes les restrictions liées aux plages de clés, accédant ainsi à l'intégralité du magasin de données etcd. Kubernetes ne s'appuie pas sur l'authentification et l'autorisation intégrées d'etcd. Au lieu de cela, le serveur API gère lui-même l'authentification et l'autorisation ; par conséquent, les déploiements typiques de Kubernetes ne sont pas affectés. Les versions 3.4.42, 3.5.28 et 3.6.9 contiennent un correctif. Si la mise à niveau n'est pas immédiatement possible, réduisez l'exposition en traitant pratiquement les RPC concernés comme non authentifiés. Restreignez l'accès réseau aux ports du serveur etcd afin que seuls des composants de confiance puissent se connecter et exigez une identité client forte au niveau de la couche transport, telle qu'une mTLS avec une distribution de certificats clients à portée strictement limitée.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.