KubeEdge CloudCore до версии 1.23.1 принимает отчеты о состоянии задач узла на своем HTTPS-сервере без проверки подлинности. Злоумышленники могут подключиться к CloudCore через порт 10002, чтобы пометить задания обновления как успешные или неудачные, обманывая плоскость управления относительно статуса обновления узла и блокируя дальнейшее планирование обновлений.
Показать оригинальное описание (EN)
KubeEdge CloudCore through 1.23.1 accepts node task status reports on its HTTPS server without authentication verification. Attackers can reach CloudCore on port 10002 to mark upgrade jobs as succeeded or failed, deceiving the control plane about node upgrade status and blocking further upgrade scheduling.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Linuxfoundation Kubeedge
cpe:2.3:a:linuxfoundation:kubeedge:*:*:*:*:*:*:*:*
|
— |
<= 1.23.1
|
Ссылки 5
https://github.com/geo-chen/oss/blob/main/kubeedge.md
NVD
https://github.com/kubeedge/kubeedge/blob/v1.23.1/cloud/pkg/cloudhub/servers/ht…
NVD
https://github.com/kubeedge/kubeedge/blob/v1.23.1/cloud/pkg/cloudhub/servers/ht…
NVD
https://github.com/kubeedge/kubeedge
NVD
https://www.vulncheck.com/advisories/kubeedge-cloudcore-through-1.23.1-missing-…
VulnCheck Advisory: KubeEdge CloudCore through 1.23.1 Missing Authentication on Node Task Endpoints