| タイトル | tigeraのCalicoにおけるログファイルからの情報漏えいに関する脆弱性 |
|---|---|
| 概要 | Calicoでは、install-cni初期化コンテナがレンダリングされたCNI構成を標準出力にログ出力します。構成テンプレートが__SERVICEACCOUNT_TOKEN__プレースホルダーを使用している場合（Canal/Flannel-Calicoのデプロイメント）、インストーラーはログ出力前にライブのKubernetes ServiceAccountベアラートークンに置き換えます。これにより、calico-nodeが存在する名前空間でpods/log権限を持つ認証済みユーザーにトークンが露出します。このトークンはpods/statusのパッチ権限を持ち、クラスタのワークロードに対してアノテーションベースの攻撃を可能にします。デフォルトのkubeconfigベースの認証パスには影響しません。これはTTA-2018-001の直接的な逆行です。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月28日0:00 |
| 登録日 | 2026年6月8日12:28 |
| 最終更新日 | 2026年6月8日12:28 |
| CVSS3.0 : 警告 | |
| スコア | 6.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| tigera |
| Calico 22.4.0 未満 |
| Calico 3.21.7 未満 |
| Calico 3.22.0 以上 3.22.3 未満 |
| Calico 3.32.0 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月08日] 掲載 |
2026年6月8日12:28 |
| 概要 | In Calico, the install-cni init container logs the rendered CNI configuration to standard output. When the configuration template uses the __SERVICEACCOUNT_TOKEN__ placeholder (Canal/Flannel-Calico deployments), the installer substitutes the live Kubernetes ServiceAccount bearer token before logging, exposing the token to any authenticated user with pods/log permission in the namespace with calico-node. The token holds patch privileges on pods/status, enabling annotation-based attacks against cluster workloads. The default kubeconfig-based authentication path is not affected. This is a direct regression of TTA-2018-001. |
|---|---|
| 公表日 | 2026年5月29日2:16 |
| 登録日 | 2026年5月29日4:15 |
| 最終更新日 | 2026年5月29日3:55 |