FICHE CVE

CVE-2026-109359

Publiée le 2026-10-12 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les versions 1.8.0 à 1.24.0 de Contrast sont affectées par une faille dans la manière dont le Coordinateur vérifie la récupération des pairs. Un attaquant disposant de privilèges administratifs élevés (accès en écriture à l'historique du manifeste) peut tromper le système pour lui faire délivrer des certificats de confiance à des charges de travail révoquées ou, s'il possède la graine secrète (secret seed), voler la clé de l'autorité de certification (CA) du Mesh. Il s'agit d'une attaque réseau relativement simple à exécuter une fois les permissions requises obtenues.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Vérification d'authenticité insuffisante · CWE-345

Publiée2026-10-12

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Contrast 1.8.0 before 1.24.1 contains an improper verification vulnerability in Coordinator peer recovery that fails to confirm the serving peer uses the same manifest generation. Attackers with write access to manifest history can replay a superseded history head so withdrawn workloads obtain trusted mesh certificates, or with the secret seed disclose the Mesh CA key.