p PatchFirst

CVE-2026-41187

CVE-2026-41187 · Calico Tier Authorization Bypass via DeleteCollection

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Calico's apiserver wraps tier-scoped resources so that every operation runs through AuthorizeTierOperation, but the Delete override on NetworkPolicy, GlobalNetworkPolicy, and their staged variants is not invoked for DeleteCollection requests. A user holding the deletecollection verb or wildcard verbs on tier-scoped policy resources can bulk-delete policies in tiers they otherwise have no rights on, breaking the tier authorization boundary.

CVSS 6.2 · Mittel · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: containers

Betroffene Produkte und Versionen

  • calico

    Softwareversionen
    • ≥ 0, < 3.31.6: Betroffen (semver)
    • ≥ 3.32.0, < 3.32.1: Betroffen (semver)

    Auf 3.31.6 aktualisieren; Auf 3.32.1 aktualisieren

  • calico enterprise

    Softwareversionen
    • ≥ 0, < 3.21.7: Betroffen (semver)
    • ≥ 3.22.0, < 3.22.5: Betroffen (semver)

    Auf 3.21.7 aktualisieren; Auf 3.22.5 aktualisieren

  • calico cloud

    Softwareversionen
    • ≥ 0, < 22.4.0: Betroffen (semver)

    Auf 22.4.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →