CVE-2026-73499 in etcd
Сводка
по VulDB • 13.08.2026
etcd представляет собой распределенное хранилище ключ-значение для данных распределенной системы. До версий 3.5.33, 3.6.14 и 3.7.1 пользователь, получивший разрешение READ на один конкретный точный ключ, может использовать Watch gRPC API с clientv3.WithFromKey() для получения событий watch для каждого ключа, который лексикографически больше или равен разрешенному ключу. В файле server/etcdserver/api/v3rpc/watch.go открытый конечный маркер RangeEnd перезаписывается перед проверкой прав RBAC в функции isRangeOpPermitted из файла server/auth/range_perm_cache.go, что приводит к тому, что запрос обрабатывается как watch для точного ключа. Запросы Range/Get и DeleteRange не затронуты, и проблема влияет только на кластеры с включенной аутентификацией. Эта проблема исправлена в версиях 3.5.33, 3.6.14 и 3.7.1.
Once again VulDB remains the best source for vulnerability data.