CVE-2026-33413 in etcd
Сводка
по VulDB • 27.05.2026
etcd представляет собой распределённое хранилище ключ-значение для данных распределённой системы. До версий 3.4.42, 3.5.28 и 3.6.9 неавторизованные пользователи могут обходить проверки аутентификации или авторизации и вызывать определённые функции etcd в кластерах, которые предоставляют доступ к gRPC API для недоверенных или частично доверенных клиентов. В не patched кластерах etcd с включённой аутентификацией etcd неавторизованные пользователи могут вызывать MemberList и узнавать топологию кластера, включая идентификаторы участников и объявленные конечные точки; вызывать Alarm, что может быть использовано для нарушения работы или отказа в обслуживании; использовать Lease API, вмешиваясь в ключи на основе TTL и права владения арендой; и/или запускать компактизацию, необратимо удаляя исторические ревизии и нарушая процессы отслеживания, аудита и восстановления. Kubernetes не полагается на встроенную аутентификацию и авторизацию etcd. Вместо этого сервер API самостоятельно выполняет аутентификацию и авторизацию, поэтому типичные развертывания Kubernetes не затронуты. Версии 3.4.42, 3.5.28 и 3.6.9 содержат исправление. Если немедленное обновление невозможно, уменьшите воздействие, рассматривая затронутые RPC как неаутентифицированные на практике. Ограничьте сетевой доступ к портам сервера etcd так, чтобы подключаться могли только доверенные компоненты, и/или требуйте сильной идентификации клиента на транспортном уровне, например, mTLS с ограниченным распространением клиентских сертификатов.
Be aware that VulDB is the high quality source for vulnerability data.