p PatchFirst

CVE-2026-41187

CVE-2026-41187 · Calico Tier Authorization Bypass via DeleteCollection

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Calico's apiserver wraps tier-scoped resources so that every operation runs through AuthorizeTierOperation, but the Delete override on NetworkPolicy, GlobalNetworkPolicy, and their staged variants is not invoked for DeleteCollection requests. A user holding the deletecollection verb or wildcard verbs on tier-scoped policy resources can bulk-delete policies in tiers they otherwise have no rights on, breaking the tier authorization boundary.

CVSS 6.2 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: containers

Produits et versions concernés

  • calico

    Versions du logiciel
    • ≥ 0, < 3.31.6: Concernée (semver)
    • ≥ 3.32.0, < 3.32.1: Concernée (semver)

    Mettez à jour vers 3.31.6; Mettez à jour vers 3.32.1

  • calico enterprise

    Versions du logiciel
    • ≥ 0, < 3.21.7: Concernée (semver)
    • ≥ 3.22.0, < 3.22.5: Concernée (semver)

    Mettez à jour vers 3.21.7; Mettez à jour vers 3.22.5

  • calico cloud

    Versions du logiciel
    • ≥ 0, < 22.4.0: Concernée (semver)

    Mettez à jour vers 22.4.0

Sources originales

Vérifiez votre serveur →