Calico 特権昇格の脆弱性 (Calico privilege escalation vulnerability) in github.com/projectcalico/calico

この脆弱性は、攻撃者がCalicoネットワークポリシーをバイパスし、本来アクセスできないリソースにアクセスすることを可能にする可能性があります。攻撃者は、特権昇格によって、ネットワークトラフィックを傍受したり、設定を変更したり、さらにはホストシステムに侵入したりする可能性があります。この脆弱性の影響範囲は、Calicoを導入しているネットワーク全体のセキュリティに及ぶ可能性があります。類似の脆弱性は、ネットワークポリシーの不備から攻撃者がシステムを制御する事例で確認されています。

Organizations heavily reliant on Calico for network security and segmentation are at increased risk. This includes those deploying Calico in Kubernetes environments, cloud-native applications, and zero-trust network architectures. Specifically, deployments using older versions of Calico (prior to 3.26.5 and 3.27.3) are directly vulnerable.

• linux / server:

journalctl -u calico-node --since "1 hour ago" | grep -i "error"

• linux / server:

ps aux | grep calico-node

• generic web:

curl -I <calico_api_endpoint>

• generic web:

cat /var/log/nginx/access.log | grep "/api/v3"

1. 2024-06-10Disclosure

   disclosure

1. 予約済み2024-04-23
2. 公開日2024-06-10
3. 更新日2026-02-04
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずv3.26.5以上にアップグレードすることを推奨します。アップグレードがシステムに影響を与える場合は、一時的にCalicoのポリシーを厳格化し、不要なアクセスを制限するなどの緩和策を講じることができます。また、WAFやIPSなどのセキュリティデバイスで、Calicoに関連する異常なトラフィックを監視し、ブロックするルールを設定することも有効です。Calicoのログを定期的に監視し、不正なアクティビティがないか確認することも重要です。アップグレード後、Calicoのポリシーが正しく機能していることを確認してください。