CVE-2026-102340 in Telepresence
Riassunto
di VulDB • 04/11/2026
Telepresence consente lo sviluppo locale contro un cluster Kubernetes o OpenShift remoto. Prima della versione 2.31.0, l'API gRPC del Traffic Manager sulla porta 8081 accetta chiamanti non autenticati dalla rete del cluster; ArriveAsClient memorizza uno spazio dei nomi (Namespace) fornito dal caller utilizzando esclusivamente il controllo ManagesNamespace nella watchlist del manager e CreateIntercept può prendere di mira qualsiasi namespace gestito senza verificare l'autorizzazione RBAC Kubernetes della sessione. Un attaccante che opera su un pod con accesso alla rete al manager può registrarsi in un namespace gestito arbitrario, creare intercettazioni dei servizi (service intercepts), ricevere il traffico intercettato e ottenere l'ambiente completo del container del pod vittima, inclusi segreti, token e chiavi API. La distribuzione predefinita a livello di cluster gestisce tutti gli spazi dei nomi. Questa vulnerabilità è risolta nella versione 2.31.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.