В версиях Eclipse Ankaios с v0.5.1 по v1.0.1 авторизатор интерфейса управления на стороне агента неправильно оценивает многосегментные разрешающие правила, первый сегмент пути которых является подстановочным знаком. Рабочая нагрузка, прошедшая проверку подлинности и доступ к которой ограничен таким правилом, может отправить CompleteStateRequest или UpdateStateRequest с пустой маской поля. В этом случае запрос может быть ошибочно авторизован как соответствующий правилу области действия, что позволит рабочей нагрузке прочитать полное состояние кластера или заменить состояние за пределами его авторизованного поддерева.
Это может привести к несанкционированному раскрытию или изменению других рабочих нагрузок и конфигурации кластера. Только правило, состоящее исключительно из *, предназначено для разрешения пустой маски. Способ устранения: до тех пор, пока не будет установлено обновление, содержащее исправление, избегайте многосегментных масок фильтров разрешающих правил интерфейса управления, которые начинаются с подстановочного знака, например *.workloads.some_workload.
Замените их явными путями, такими как желаемыйState.workloads.some_workload, где это применимо. Маска фильтра, состоящая исключительно из *, имеет другую, намеренно неограниченную семантику, и ее следует использовать только тогда, когда предполагается доступ с полным состоянием.
Показать оригинальное описание (EN)
In Eclipse Ankaios versions v0.5.1 through v1.0.1, the agent-side Control Interface authorizer incorrectly evaluates multi-segment allow rules whose first path segment is a wildcard. An authenticated workload with access restricted by such a rule can submit a CompleteStateRequest or UpdateStateRequest with an empty field mask. The request may then be incorrectly authorized as matching the scoped rule, allowing the workload to read the complete cluster state or replace state outside its authorized subtree. This may result in unauthorized disclosure or modification of other workloads and cluster configuration. Only a rule consisting solely of * is intended to authorize an empty mask. Mitigation: Until an update containing the fix is installed, avoid multi-segment Control Interface allow-rule filter masks that begin with a wildcard, such as *.workloads.some_workload. Replace them with explicit paths such as desiredState.workloads.some_workload, where applicable. A filter mask consisting solely of * has different, intentionally unrestricted semantics and should only be used when full-state access is intended.
Характеристики атаки
Последствия
Строка CVSS v4.0