In Eclipse Ankaios versions 0.6.0 to before 1.0.4, `LogRule::matches` in the agent control-interface authorizer stops at the first wildcard pattern in a single rule instead of evaluating later entries, which can cause deny `LogRule` entries to be skipped and allow unauthorized access to another workload's logs.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
eclipse foundation:eclipse ankaios
Ссылки 4
https://github.com/eclipse-ankaios/ankaios/pull/805
emo@eclipse.org
https://github.com/eclipse-ankaios/ankaios/releases/tag/v1.0.4
emo@eclipse.org
https://github.com/eclipse-ankaios/ankaios/security/advisories/GHSA-qcqx-hx4v-2…
emo@eclipse.org
https://gitlab.eclipse.org/security/cve-assignment/-/work_items/308
emo@eclipse.org