CVE-2026-73499 in etcd
Sumário
de VulDB • 13/08/2026
O etcd é um armazenamento de chave-valor distribuído para os dados de um sistema distribuído. Antes das versões 3.5.33, 3.6.14 e 3.7.1, um usuário com permissão READ em uma única chave exata pode usar a API gRPC Watch com clientv3.WithFromKey() para receber eventos watch para todas as chaves lexicograficamente maiores ou iguais à chave permitida. Em server/etcdserver/api/v3rpc/watch.go, o sentinel RangeEnd de abertura é reescrito antes da verificação de permissão RBAC na função isRangeOpPermitted em server/auth/range_perm_cache.go, fazendo com que a solicitação seja tratada como um watch de chave exata. As solicitações Range/Get e DeleteRange não são afetadas, e o problema afeta apenas clusters com autenticação habilitada. Este problema foi corrigido nas versões 3.5.33, 3.6.14 e 3.7.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.