🔴 《严重安全漏洞：CVE-2026-55884》

CVSS 评分: 严重（9.2）　　状态: Received　　发布时间: 2026-07-10

漏洞简介

CVE-2026-55884 是一个存在于 Tilt 项目中的安全漏洞。Tilt 是一个用于在 Kubernetes 上定义微服务应用开发环境的工具，它允许开发者通过代码来管理开发环境。

该漏洞的核心问题在于 Tilt HUD（Head-Up Display）HTTP 服务器 在注册路由处理器（handler）时，使用了 gorilla/mux 路由器，但没有配置任何身份验证中间件（authenticating middleware）。这属于 CWE-306：关键功能缺少身份验证（Missing Authentication for Critical Function） 分类。

具体来说，当 Tilt HUD 绑定到非回环地址（non-loopback address）（例如 0.0.0.0 或具体的局域网 IP）时，未经身份验证的网络调用者（unauthenticated network caller）可以执行以下恶意操作：

  1. 触发开发者定义的资源：攻击者可以远程触发在 Tiltfile 中定义的开发资源（如构建、部署、测试任务）。
  2. 篡改 Tiltfile 参数：攻击者可以修改 Tiltfile 的运行时参数，从而改变开发环境的行为。
  3. 读取完整的引擎状态：攻击者可以获取 Tilt 引擎的完整内部状态，包括会话令牌（session token）。会话令牌可用于冒充合法用户。
  4. 通过代理端点调用 API 服务器资源：Tilt HUD 提供了一个 /proxy 处理程序，该处理程序会附加会话令牌来代理请求。攻击者可以利用这个端点，以 Tilt 引擎的身份调用后端的 API 服务器（apiserver）资源，从而可能进一步渗透 Kubernetes 集群。

该漏洞已在 Tilt 0.37.4 版本中修复。

影响范围

  • 受影响版本：Tilt 从 0.20.8 到 0.37.3（含）的所有版本。
  • 修复版本：Tilt 0.37.4。
  • 触发条件：Tilt HUD 必须绑定到非回环网络地址（即允许来自其他主机的网络连接）。

风险分析

根据 CVSS 4.0 评分向量 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N，该漏洞的风险等级为 高危。

  • 攻击向量（AV:N）：攻击者可以通过网络远程利用该漏洞。
  • 攻击复杂度（AC:L）：利用该漏洞不需要复杂的攻击技术。
  • 攻击所需条件（AT:P）：需要 Tilt HUD 绑定到非回环地址，这通常发生在开发者将 Tilt 暴露在局域网或公网时。
  • 权限要求（PR:N）：攻击者无需任何身份验证即可发起攻击。
  • 用户交互（UI:N）：不需要受害者进行任何交互。
  • 机密性影响（VC:H）：攻击者可以读取完整的引擎状态，包括会话令牌，导致敏感信息（如 Kubernetes 集群凭证）泄露。
  • 完整性影响（VI:H）：攻击者可以篡改 Tiltfile 参数和触发资源，可能导致恶意代码执行或开发环境配置被破坏。
  • 可用性影响（VA:L）：攻击者可能通过触发大量资源或修改配置来影响服务的可用性，但影响相对较低。

可能的攻击后果：

  1. 信息泄露：攻击者获取会话令牌后，可以冒充 Tilt 引擎与 Kubernetes API 服务器通信，从而窃取集群内的敏感信息（如 Secrets、ConfigMaps）。
  2. 权限提升与横向移动：攻击者可以利用 /proxy 端点，以 Tilt 引擎的权限在 Kubernetes 集群内执行任意操作，例如部署恶意 Pod、创建后门、横向移动到其他命名空间或节点。
  3. 开发环境破坏：攻击者可以触发构建、部署等操作，消耗开发资源，或篡改 Tiltfile 参数，导致开发环境无法正常工作，甚至被植入恶意代码。
  4. 供应链风险：如果 Tilt 被用于 CI/CD 流水线，攻击者可能通过该漏洞污染构建产物，影响下游用户。

建议：所有使用受影响版本（0.20.8 至 0.37.3）的用户应立即升级到 0.37.4 或更高版本。同时，应避免将 Tilt HUD 暴露在非受信网络中，建议仅绑定到回环地址（127.0.0.1）或通过反向代理（如 Nginx）添加身份验证。

🔍 技术细节

字段 值
CVE ID CVE-2026-55884
CVSS 评分 9.2 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-306
发布时间 2026-07-10
最后更新 2026-07-10
状态 Received
数据来源 security-advisories@github.com

🔗 参考链接