CVE-2026-66781
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W operatorze Submariner znaleziono błąd. Zasób niestandardowy Submariner (CR), używany do konfiguracji łączności sieciowej, przechowuje klucz pre-shared IPsec (PSK) w niezaszyfrowanym formacie. Ten klucz, który jest krytyczny dla zabezpieczenia komunikacji między klastrami Kubernetes, może być dostępny dla nieautoryzowanych stron. Taki dostęp umożliwia atakującemu pasywne odszyfrowanie ruchu sieciowego między dowolnymi dwoma klastrami w siatce, co prowadzi do ujawnienia poufnych informacji.
Ocena ryzyka
Ujawnienie klucza PSK może pozwolić atakującemu na odszyfrowanie całego ruchu między klastrami, co prowadzi do poważnego naruszenia poufności danych.
Rekomendacja
Zabezpiecz przechowywanie klucza PSK, np. używając szyfrowania lub zarządzania sekretami, i ogranicz dostęp do zasobu CR.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Submariner operator. The Submariner Custom Resource (CR), used for configuring network connectivity, stores the IPsec pre-shared key (PSK) in an unencrypted format. This key, which is critical for securing communication between Kubernetes clusters, can be accessed by unauthorized parties. Such access enables an attacker to passively decrypt network traffic flowing between any two clusters in the mesh, resulting in sensitive information disclosure.