Veille sécuritéCloud & DevOps
P3Élevée
Avant Telepresence 2.31.0, un appelant pouvant obtenir un identifiant de session actif peut rattacher un tunnel routé à cette session sans vérification de propriété. Mettez à jour Telepresence vers 2.31.0 ou une version ultérieure.
Kubernetes
IdentifiantCVE-2026-102339
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.31.0
Source : NVD — CVE-2026-102339
Analyse technique
Le point d’entrée gRPC de tunnel accepte l’identifiant fourni dans le message sans vérifier que l’appelant possède la session active. Le risque suppose que l’identifiant ait été obtenu; le brute force à froid est décrit comme impraticable en raison des identifiants UUID4.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-11-04 à 21:17:40 UTC, soit 23:17:40 +02:00, dans la période demandée. La fiche NVD modifiée correspond au même enregistrement et ne constitue pas un événement séparé.
ImpactUn attaquant disposant d’un identifiant de session actif peut obtenir les capacités de routage du tunnel associé.
Versions affectéesVersions antérieures à 2.31.0
Version corrigée2.31.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
Publication2026-11-04T23:17:40.500+02:00
Mise à jour2026-11-04T23:17:40.500+02:00
Action recommandée
Mettre à jour Telepresence vers la version 2.31.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).