CVE-2026-62369
WysokieCVSS 8.1Streszczenie
KubeEdge, open source system do rozszerzania natywnych możliwości orkiestracji kontenerów na hosty brzegowe, w wersjach od 1.16.0 do 1.21.2, 1.22.2 i 1.23.1 posiada podatność w funkcji DecompressTarGz w keadm/cmd/keadm/app/cmd/util/common.go. Funkcja łączy nazwy wpisów archiwum z miejscem rozpakowania bez wystarczającej walidacji. Podczas keadm join lub instalacji na węzłach brzegowych Windows archiwum pochodzące z niezaufanego źródła może zawierać komponenty katalogu nadrzędnego, ukośniki w stylu Windows, ścieżki absolutne lub ścieżki z prefiksem dysku, które wychodzą poza zamierzony katalog.
Ocena ryzyka
Proces keadm może zapisywać lub nadpisywać pliki z własnymi uprawnieniami, potencjalnie modyfikując pliki konfiguracyjne, wykonywalne lub usług, co umożliwia trwałą modyfikację systemu lub wykonanie kodu. Może to prowadzić do przejęcia węzła brzegowego.
Rekomendacja
Zaktualizuj KubeEdge do wersji 1.21.2, 1.22.2 lub 1.23.1. Upewnij się, że źródła pobierania są zaufane i zweryfikowane.
Inne podatności w KubeEdge
Zobacz wszystkie- CVE-2026-62182Wysokie
KubeEdge, open source system do rozszerzania natywnych możliwości orkiestracji kontenerów na hosty brzegowe, w wersjach od 1.21.0 do 1.21.2, 1.22.2 i 1.23.1 posiada podatność w przetwarzaniu ConfigUpdateJob w edge/pkg/taskmanager/actions/configupdatejob.go. Wartości updateFields kontrolowane przez uwierzytelnionego użytkownika są łączone z poleceniem keadm config-update i wykonywane przez powłokę systemową. Użytkownik z uprawnieniami do tworzenia lub modyfikowania zasobów ConfigUpdateJob może umieścić metaznaki powłoki w wartości --set i spowodować wykonanie dowolnych poleceń na docelowym węźle brzegowym z uprawnieniami procesu KubeEdge.
- CVE-2026-62371Wysokie
W KubeEdge od wersji 1.12.0 do 1.21.2, 1.22.2 i 1.23.1 handler v1alpha2 NodeUpgradeJob w edge/pkg/taskmanager/actions/nodeupgradejob.go łączy kontrolowane przez uwierzytelnionego użytkownika wartości spec.version i spec.image z poleceniem powłoki keadm upgrade edge. Użytkownik z uprawnieniem do tworzenia lub aktualizacji zasobów NodeUpgradeJob może podać metaznaki powłoki w którymkolwiek z tych pól, powodując wykonanie dowolnych poleceń na docelowych węzłach brzegowych.
- CVE-2026-62370Średnie
KubeEdge od wersji 1.0.0 do 1.21.2, 1.22.2 i 1.23.1 ma podatność na wyczerpanie pamięci. Czytanie wiadomości przez pkg/viaduct/pkg/packer ufa 32-bitowemu polu PayloadLen z CloudHub, przydzielając pamięć przed walidacją górnego limitu. Uwierzytelniony złośliwy lub skompromitowany węzeł brzegowy może wysyłać spreparowane nagłówki, powodując wyczerpanie pamięci, zakłócenia pracy CloudHub i przerwy w komunikacji.
Oryginalny opis (angielski, źródło NVD)
KubeEdge is an open source system for extending native containerized application orchestration capabilities to hosts at Edge. From 1.16.0 until 1.21.2, 1.22.2, and 1.23.1, the DecompressTarGz function in keadm/cmd/keadm/app/cmd/util/common.go joins archive entry names to the extraction destination without sufficient validation. During keadm join or installation on Windows edge nodes, an archive influenced through a compromised, replaced, or untrusted download source can contain parent-directory components, Windows-style backslashes, absolute paths, or drive-prefixed paths that escape the intended directory. The affected keadm process can consequently write or overwrite files with its own privileges, potentially modifying configuration, executable, or service files and enabling persistent system modification or code execution. This issue is fixed in versions 1.21.2, 1.22.2, and 1.23.1.