Säkerhet · 30 oktober 2026
Allvarlig sårbarhet upptäckt i verktyget consul-k8s för Kubernetes
En allvarlig sårbarhet har identifierats i verktyget consul-k8s, som används för att koppla samman Kubernetes och Consul. En uppdatering har publicerats för att åtgärda problemet.
Den 26 oktober 2026 publicerade HashiCorp en säkerhetsanmälan som avser en sårbarhet i behörighetsbehandling, identifierad som CVE-2026-110720. Sårbarheten beror på brister i åtkomstkontrollregler för komponenter, vilket gör att autentisering inte är korrekt begränsad inom Kubernetes-namnrymden där Consul är implementerat.
Det finns risk att en tjänstekonto med samma namn från en annan namnrymd kan autentiseras som en Consul-komponent och därmed få relaterade rättigheter. För att få tillgång till Consuls API krävs behörighet att skapa tjänstekonton och hämta token i en annan namnrymd. System som har inaktiverad ACL-hantering påverkas inte av sårbarheten.
Sårbarheten har fått ett baspoäng på 9.9 enligt Common Vulnerability Scoring System version 3.1, vilket klassificeras som kritiskt i en fyrgradig skala.
HashiCorp har släppt versionerna consul-k8s 2.1.0 och 1.8.18 som en åtgärd mot sårbarheten. Användare uppmanas att utvärdera riskerna och överväga att genomföra uppdateringen.