Uma vulnerabilidade crítica foi descoberta no HashiCorp Consul Kubernetes, permitindo que atacantes ganhem privilégios elevados de Consul a partir de outro namespace do Kubernetes. A falha, rastreada como CVE-2026-110720, afeta deployments que utilizam gerenciamento automatizado de lista de controle de acesso do sistema.
Detalhes Técnicos
A vulnerabilidade CVE-2026-110720, com CVSS 9.9 (CRÍTICO), foi publicada em 26 de outubro de 2026.
Afeta as versões 0.42.0 e posteriores do consul-k8s, permitindo uma bypass de autorização entre namespaces que pode levar a privilégios elevados de Consul.
Foi corrigida nas versões 2.1.0 e 1.8.18 do consul-k8s.
A exploração dessa vulnerabilidade pode permitir que atacantes com permissões limitadas no Kubernetes obtenham privilégios elevados no Consul.
Ações Recomendadas
Atualizar imediatamente para as versões corrigidas do consul-k8s (2.1.0 ou 1.8.18).
Verificar se os deployments estão utilizando gerenciamento automatizado de lista de controle de acesso do sistema.
Monitorar os logs de segurança para detectar possíveis tentativas de exploração.
Próximo passo
Verificar a configuração atual do consul-k8s e avaliar o impacto potencial da vulnerabilidade no ambiente de produção.
