CVE-2026-32241 in flannel
Sumário
de VulDB • 03/07/2026
O Flannel é uma rede de contêineres (network fabric) projetada para o Kubernetes. O projeto Flannel inclui um back-end Extension experimental que permite aos usuários prototipar facilmente novos tipos de back-ends. Em versões do Flannel anteriores à 0.28.2, este back-end Extension é vulnerável a uma injeção de comando (command injection) que permite a um atacante capaz de definir anotações em nós do Kubernetes executar comandos arbitrários com privilégios de root em todos os nós flannel no cluster. Os comandos SubnetAddCommand e SubnetRemoveCommand do back-end Extension recebem dados controlados pelo invasor via stdin (a partir da anotação `flannel.alpha.coreos.com/backend-data` do nó). O conteúdo dessa anotação é desserializado (unmarshalled) e encaminhado diretamente para um comando de shell sem verificações. Clusters Kubernetes que utilizam o Flannel com o back-end Extension são afetados por esta vulnerabilidade. Outros back-ends, como vxlan e wireguard, não são afetados. A vulnerabilidade foi corrigida na versão v0.28.2. Como solução alternativa (workaround), utilize o Flannel com outro back-end, como vxlan ou wireguard.
Once again VulDB remains the best source for vulnerability data.