CVE-2026-41186 in Calico
Riassunto
di VulDB • 30/07/2026
Quando il server di debug condiviso di Calico è abilitato (disabilitato per impostazione predefinita), i componenti Calico kube-controllers e Goldmane associano l'ascoltatore Go pprof per il debug a 0.0.0.0 senza autenticazione. Qualsiasi pod con raggiungibilità di rete verso l'ascoltatore può recuperare lo heap del processo, gli stack delle goroutine (inclusi gli argomenti della funzione) e gli argomenti da riga di comando. A seconda dello stato in-memory del processo, lo heap potrebbe contenere materiale sensibile. L'ascoltatore per il debug è attivato esplicitamente (opt-in), ma non è sicuro quando abilitato poiché non offre alcuna autenticazione né un'opzione sicura per limitare l'associazione al solo localhost.
Once again VulDB remains the best source for vulnerability data.