CVE-2026-102339— Telepresence 会话劫持漏洞
一分钟漏洞结论
影响对象
telepresenceio telepresence
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Telepresence 支持针对远程 Kubernetes 或 OpenShift 集群进行本地开发。在 2.31.0 版本之前，Traffic Manager 隧道 gRPC 流式端点会在 中从调用者控制的消息前几个字节解析会话 ID，并将其传递给 ，但并未验证调用者是否拥有该活跃会话的所有权。攻击者若通过日志泄露、集群内部通道或未认证的 端点获取到有效的活跃会话 ID，即可将路由隧道附加到该会话，从而获得其网络路由能力。由于会话 ID 采用 UUID4 格式，冷暴力破解在实际中并不可行。该漏洞已在 2.31.
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-102339 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Telepresence: Tunnel endpoint accepts caller-supplied session ID with no ownership proof — active client sessions hijackable
来源: CVE Program / CVE List V5
Vulnerability Description
Telepresence enables local development against a remote Kubernetes or OpenShift cluster. Prior to 2.31.0, the Traffic Manager Tunnel gRPC streaming endpoint parses a session ID from the first bytes of a caller-controlled message in pkg/tunnel/message.go and passes it to state.Tunnel without verifying that the caller owns the active session. An attacker who obtains a valid active session ID through log leakage, cluster-internal channels, or the unauthenticated ArriveAsClient endpoint can attach a routed tunnel to that session and gain its network routing capabilities. UUID4 session IDs make cold brute force impractical. This vulnerability is fixed in 2.31.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过用户控制密钥绕过授权机制
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| telepresenceio | telepresence | < 2.31.0 | - |
|
二、漏洞 CVE-2026-102339 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-102339 的情报信息
请登录查看更多情报信息。
CVE-2026-102339 其他参考 (5)
-
https://github.com/telepresenceio/telepresence/pull/4217 x_refsource_MISC
-
https://github.com/telepresenceio/telepresence/releases/tag/v2.31.0 x_refsource_MISC