Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-306
  • CWE-862

CVE-2026-102340

Telepresence Traffic Manager gRPC API'sinde kimlik doğrulama eksikliği

telepresenceio telepresence

Yüksek 8,5 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, geliştirme aracının kümedeki diğer uygulamaların gizli bilgilerine ulaşılmasına izin verebilmesi anlamına gelir. Bu da veri sızıntısı ve sistemlere yetkisiz erişim riski doğurur. Etkilenen araç kullanılıyorsa güncelleme acil olarak planlanmalıdır.

ÖzetTürkçe

Telepresence, yerel geliştirmeyi uzak bir Kubernetes veya OpenShift kümesine bağlamaya yarayan bir araçtır. 2.31.0 öncesi sürümlerde Traffic Manager'ın 8081 numaralı gRPC API'si kimlik doğrulaması yapmadan küme ağındaki istemcileri kabul etmekte, ayrıca istemcinin belirttiği namespace yalnızca yönetilen namespace listesiyle kontrol edilmekte ve oturumun Kubernetes RBAC yetkileri denetlenmemektedir. Varsayılan küme geneli kurulumda tüm namespace'ler yönetildiğinden, etkilenen ortamlarda tüm kümeye erişim riski vardır.

Saldırgan ne yapabilir?

Saldırgan, ağa erişimi olan herhangi bir pod üzerinden başka bir namespace'e kayıt olup servisleri kesebilir (intercept), trafiği ele geçirebilir ve hedef pod'un ortam değişkenlerindeki gizli anahtar, token ve API anahtarları dahil tüm container ortamını elde edebilir.

Kaynaktaki açıklama (İngilizce)

Telepresence enables local development against a remote Kubernetes or OpenShift cluster. Prior to 2.31.0, the Traffic Manager gRPC API on port 8081 accepts unauthenticated cluster-network callers, ArriveAsClient stores a caller-supplied Namespace using only the ManagesNamespace manager watchlist check, and CreateIntercept can target any managed namespace without checking the session's Kubernetes RBAC. An attacker operating any pod with network access to the manager can register in an arbitrary managed namespace, create service intercepts, receive intercepted traffic, and obtain the victim pod's complete container environment, including secrets, tokens, and API keys. The default cluster-wide deployment manages all namespaces. This vulnerability is fixed in 2.31.0.

Ne yapmalı?

  1. Telepresence'ı 2.31.0 veya üzeri bir sürüme yükseltin. Üretici
  2. Yükseltme tamamlanana kadar Traffic Manager'a ağ erişimini yalnızca güvenilen istemcilerle sınırlandırın; küme ağındaki gereksiz pod erişimlerini kısıtlayın. Genel öneri
  3. Yükseltmeden sonra Traffic Manager'ın çalıştığı ad alanlarını ve yönetilen namespace kapsamını gözden geçirerek gereksiz geniş yetkilendirmeleri daraltın. Genel öneri

Ek önlemler

  • Traffic Manager'ın gRPC portuna (8081) yalnızca gerekli kaynaklardan gelen trafiğe izin veren ağ politikaları uygulayın. Genel öneri
  • Yönetilen namespace kapsamını mümkün olduğunca dar tutun; tüm kümeyi kapsayan varsayılan kurulumu gözden geçirin. Genel öneri
  • Traffic Manager'da beklenmeyen namespace kayıtlarını ve intercept oluşturma işlemlerini izleyip loglayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
telepresenceio telepresence < 2.31.0 2.31.0

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.