CVE-2026-41186

Nome do Software Vulnerável e Versões Afetadas Calico (versões afetadas não especificadas)

Descrição Quando o servidor de depuração compartilhado está habilitado, os componentes Calico kube-controllers e Goldmane vinculam seu ouvinte de depuração Go pprof ao endereço 0.0.0.0 sem autenticação. Isso permite que qualquer pod com alcance de rede ao ouvinte recupere o heap do processo, pilhas de goroutine (incluindo argumentos de função) e argumentos de linha de comando. O heap do processo pode conter material sensível, dependendo do estado da memória. O ouvinte de depuração é um recurso opcional que carece de autenticação e de uma opção de vinculação segura apenas para localhost.

Recomendações Mantenha o servidor de depuração compartilhado desabilitado. Como medida de mitigação temporária, restrinja o acesso de rede ao ouvinte de depuração para evitar que pods não autorizados alcancem o serviço.