CVE-2026-41186 in Calico
要約
〜によって VulDB • 2026年07月31日
Calicoの共有デバッグサーバーが有効化されている場合（既定では無効）、Calico kube-controllersおよびGoldmaneコンポーネントは、認証なしでGo pprofデバッグリスナーを0.0.0.0にバインドします。リスナーへのネットワーク到達性を持つ任意のポッドは、プロセスヒープ、ゴルーチンスタック（関数引数を含む）、およびコマンドライン引数を取得できます。プロセスのメモリ内状態によっては、ヒープには機密情報が含まれる可能性があります。デバッグリスナーはオプトイン方式ですが、認証を提供せず、安全なlocalhost専用バインドオプションもないため、有効化すると不安全となります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.