| Summary | In Calico, the install-cni init container logs the rendered CNI configuration to standard output. When the configuration template uses the __SERVICEACCOUNT_TOKEN__ placeholder (Canal/Flannel-Calico deployments), the installer substitutes the live Kubernetes ServiceAccount bearer token before logging, exposing the token to any authenticated user with pods/log permission in the namespace with calico-node. The token holds patch privileges on pods/status, enabling annotation-based attacks against cluster workloads. The default kubeconfig-based authentication path is not affected. This is a direct regression of TTA-2018-001. |
|---|---|
| Publication Date | May 29, 2026, 2:16 a.m. |
| Registration Date | May 29, 2026, 4:15 a.m. |
| Last Update | May 29, 2026, 3:55 a.m. |
| Title | tigeraのCalicoにおけるログファイルからの情報漏えいに関する脆弱性 |
|---|---|
| Summary | Calicoでは、install-cni初期化コンテナがレンダリングされたCNI構成を標準出力にログ出力します。構成テンプレートが__SERVICEACCOUNT_TOKEN__プレースホルダーを使用している場合（Canal/Flannel-Calicoのデプロイメント）、インストーラーはログ出力前にライブのKubernetes ServiceAccountベアラートークンに置き換えます。これにより、calico-nodeが存在する名前空間でpods/log権限を持つ認証済みユーザーにトークンが露出します。このトークンはpods/statusのパッチ権限を持ち、クラスタのワークロードに対してアノテーションベースの攻撃を可能にします。デフォルトのkubeconfigベースの認証パスには影響しません。これはTTA-2018-001の直接的な逆行です。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 28, 2026, midnight |
| Registration Date | June 8, 2026, 12:28 p.m. |
| Last Update | June 8, 2026, 12:28 p.m. |
| tigera |
| Calico 22.4.0 未満 |
| Calico 3.21.7 未満 |
| Calico 3.22.0 以上 3.22.3 未満 |
| Calico 3.32.0 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月08日] 掲載 |
June 8, 2026, 12:28 p.m. |