Sécurité · 30 octobre 2026
Également publié en Svenska, Español, Português (Brasil), Norsk
Vulnérabilité grave dans l'outil « consul-k8s » pour Kubernetes
Une vulnérabilité sérieuse a été identifiée dans l'outil « consul-k8s », qui permet l'intégration de « Kubernetes » et de « Consul ». Une mise à jour a été fournie pour résoudre ce problème.
Le 26 octobre 2026, HashiCorp a publié un avis de sécurité concernant une vulnérabilité liée à la gestion des autorisations, référencée comme « CVE-2026-110720 ». Cette faille est due à des règles de contrôle d'accès inadéquates pour les composants, ce qui empêche une restriction correcte des entités authentifiées dans l'espace de noms de « Kubernetes » où « Consul » est déployé.
Il existe un risque que des services disposant du même nom dans des espaces de noms différents de « Kubernetes » puissent s'authentifier comme composants de « Consul », acquérant ainsi les autorisations associées. L'accès à l'API de « Consul » nécessite d'obtenir des autorisations pour créer un compte de service dans un autre espace de noms et obtenir un jeton. Les environnements ayant désactivé la gestion des ACL système ne sont pas affectés.
La base de score selon le Système de notation des vulnérabilités communes « CVSSv3.1 » est de « 9.9 », classée comme « critique » sur une échelle de quatre niveaux. HashiCorp a mis à disposition les versions corrigées « consul-k8s 2.1.0 » et « 1.8.18 », et recommande d'évaluer les risques avant de procéder à la mise à jour.