CVE-2026-66781
Publiée le 2026-08-18 · Dernière modification le 2026-10-19
L'opérateur Submariner pour Kubernetes stocke les clés pré-partagées IPsec en texte clair au sein de sa ressource personnalisée (Custom Resource). Un attaquant disposant d'un accès au réseau adjacent peut récupérer cette clé pour déchiffrer passivement et lire le trafic sensible circulant entre les clusters du maillage. Cette exploitation ne nécessite ni authentification ni interaction de l'utilisateur, mais elle exige que l'attaquant soit positionné sur le réseau local.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in the Submariner operator. The Submariner Custom Resource (CR), used for configuring network connectivity, stores the IPsec pre-shared key (PSK) in an unencrypted format. This key, which is critical for securing communication between Kubernetes clusters, can be accessed by unauthorized parties. Such access enables an attacker to passively decrypt network traffic flowing between any two clusters in the mesh, resulting in sensitive information disclosure.