Kubernetes工具「consul-k8s」出现严重脆弱性，修正版已发布

工具「consul-k8s」，用于将「Kubernetes」与「Consul」连接，近日被发现存在严重的安全脆弱性。HashiCorp于2026年10月26日发布了安全公告，指出该漏洞编号为「CVE-2026-110720」。

该漏洞源于组件访问控制规则的缺陷，导致在使用「Consul」的「Kubernetes」命名空间中，身份验证对象未得到适当限制。攻击者可能利用同名的服务账号，从不同的命名空间获得「Consul」组件的认证及其相关权限。

为利用该漏洞，攻击者需要能够访问「Consul」的API，并在另一个命名空间中创建服务账号以获取令牌。在禁用系统ACL管理的环境下，该漏洞不受影响。

根据公共漏洞评分系统「CVSSv3.1」，该漏洞的基础分数为「9.9」，被评为四级中最高的「严重（Critical）」级别。HashiCorp已提供修正版「consul-k8s 2.1.0」和「1.8.18」，并呼吁用户在评估风险后尽快进行更新。