ظهور ثغرة خطيرة في أداة "consul-k8s" لنظام "Kubernetes"

a laptop computer sitting on top of a white table — Surface / Unsplash

تم الكشف عن ثغرة خطيرة في أداة "consul-k8s" التي تربط بين نظام "Kubernetes" و"Consul". وقد تم توفير تحديث لمعالجة هذه الثغرة.

في 26 أكتوبر 2026، أعلنت شركة HashiCorp عن إصدار استشاري أمني يتعلق بثغرة في معالجة التفويض، المعروفة باسم "CVE-2026-110720".

تتعلق المشكلة بنقص في قواعد التحكم في الوصول للمكونات، مما يؤدي إلى عدم تقييد المصادقة بشكل صحيح داخل مساحة الأسماء الخاصة بـ"Kubernetes" التي تم تثبيت "Consul" فيها. قد يؤدي ذلك إلى إمكانية استخدام حساب الخدمة بنفس الاسم الموجود في مساحة أسماء مختلفة لتوثيق كأحد مكونات "Consul"، وبالتالي الحصول على الصلاحيات ذات الصلة.

يتطلب الأمر الحصول على صلاحيات للوصول إلى واجهة برمجة التطبيقات الخاصة بـ"Consul"، بالإضافة إلى القدرة على إنشاء حساب خدمة في مساحة أسماء مختلفة للحصول على توكن. لن يتأثر النظام الذي تم تعطيل إدارة ACL فيه.

تم تقييم درجة خطورة الثغرة باستخدام نظام تقييم الثغرات الشائعة "CVSSv3.1"، حيث حصلت على درجة أساسية تبلغ "9.9"، مما يجعلها في مرتبة "حرجة".

تقدم HashiCorp النسخ المعدلة "consul-k8s 2.1.0" و"1.8.18"، وتطلب من المستخدمين تقييم المخاطر قبل التفكير في التحديث.