Calico privilege escalatie kwetsbaarheid in github.com/projectcalico/calico

Deze Privilege Escalation kwetsbaarheid in Calico kan aanzienlijke gevolgen hebben voor de beveiliging van een netwerkomgeving. Een succesvolle exploitatie kan een aanvaller in staat stellen om ongeautoriseerde toegang te krijgen tot gevoelige gegevens, configuraties te wijzigen en potentieel de controle over het hele netwerk over te nemen. De impact is vergelijkbaar met scenario's waarin een gebruiker met beperkte rechten toegang krijgt tot resources die normaal gesproken buiten hun bereik zouden moeten liggen. De ernst van de impact hangt af van de configuratie van Calico en de gevoeligheid van de gegevens die het beschermt. Een aanvaller kan bijvoorbeeld de netwerkregels manipuleren om verkeer om te leiden of om toegang te krijgen tot interne systemen.

Organizations heavily reliant on Calico for network security and segmentation are at increased risk. This includes those deploying Calico in Kubernetes environments, cloud-native applications, and zero-trust network architectures. Specifically, deployments using older versions of Calico (prior to 3.26.5 and 3.27.3) are directly vulnerable.

• linux / server:

journalctl -u calico-node --since "1 hour ago" | grep -i "error"

• linux / server:

ps aux | grep calico-node

• generic web:

curl -I <calico_api_endpoint>

• generic web:

cat /var/log/nginx/access.log | grep "/api/v3"

1. 2024-06-10Disclosure

   disclosure

1. Gereserveerd2024-04-23
2. Gepubliceerd2024-06-10
3. Gewijzigd2026-02-04
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-33522 is het upgraden van Calico naar versie 3.26.5 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan een rollback naar een eerdere, veilige versie. Het is belangrijk om de compatibiliteit met andere componenten in de infrastructuur te controleren voordat een upgrade wordt uitgevoerd. Hoewel er geen specifieke WAF-regels of configuratiewerkarounds bekend zijn, kan het implementeren van strikte netwerksegmentatie en toegangscontroles de potentiële impact van deze kwetsbaarheid verminderen. Na de upgrade, verifieer de correcte werking van Calico door de netwerkregels te testen en te controleren of er geen onverwachte toegangspatronen worden gedetecteerd.