Telepresence : contrôle d’accès insuffisant à l’API du Traffic Manager

Veille sécuritéCloud & DevOps

P3Élevée

Avant Telepresence 2.31.0, un pod pouvant joindre le Traffic Manager peut appeler son API gRPC sans authentification et créer des interceptions dans des espaces de noms gérés sans contrôle des autorisations Kubernetes de la session. Mettez à jour vers Telepresence 2.31.0 ou une version ultérieure.

IdentifiantCVE-2026-102340

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif2.31.0

Source : NVD — CVE-2026-102340

Analyse technique

Un appelant du réseau du cluster peut, selon la description, s’enregistrer dans un espace de noms géré et intercepter du trafic de service. Les informations d’environnement du conteneur victime, potentiellement ses secrets et jetons, peuvent alors être exposées; le déploiement par défaut est indiqué comme gérant tous les espaces de noms.

Impact, versions et correctif

Événement datéLa publication NVD est datée du 2026-11-04 à 21:17:40 UTC, soit 23:17:40 +02:00, dans la période demandée. La fiche NVD modifiée est un doublon et non un changement substantiel distinct.

ImpactUn pod pouvant atteindre le Traffic Manager peut intercepter du trafic et exposer des données d’environnement de conteneurs victimes.

Versions affectéesVersions antérieures à 2.31.0

Version corrigée2.31.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.5

Publication2026-11-04T23:17:40.683+02:00

Mise à jour2026-11-04T23:17:40.683+02:00

Action recommandée

Mettre à jour Telepresence vers la version 2.31.0 ou ultérieure; limiter l’accès réseau au Traffic Manager aux composants de confiance.

Sources

NVD — CVE-2026-102340

Priorisation DFS : P3 · 1 source(s).