Segurança · 30 de outubro de 2026
Vulnerabilidade crítica encontrada no consul-k8s
Uma vulnerabilidade crítica foi identificada na ferramenta consul-k8s, que integra Kubernetes e Consul. A HashiCorp divulgou um aviso de segurança em 26 de outubro de 2026, referente à vulnerabilidade na autorização, identificada como CVE-2026-110720.
A falha decorre de regras inadequadas de controle de acesso para componentes, permitindo que a autenticação não seja devidamente restrita dentro do namespace Kubernetes que utiliza Consul. Isso pode permitir que um serviço com o mesmo nome em um namespace diferente obtenha autenticação como um componente do Consul e adquira permissões associadas.
Para que a vulnerabilidade seja explorada, é necessário ter acesso à API do Consul e a permissão para criar uma conta de serviço em um namespace diferente, obtendo um token. No entanto, ambientes onde a gestão de ACL do sistema está desativada não são afetados.
A pontuação base no sistema de avaliação de vulnerabilidades comum, CVSSv3.1, é de 9.9, sendo classificada como crítica, a mais alta em uma escala de quatro níveis. A HashiCorp disponibilizou versões corrigidas, consul-k8s 2.1.0 e 1.8.18, e recomenda que os usuários avaliem os riscos antes de aplicar as atualizações.