CVE-2026-85201
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W Eclipse Ankaios w wersjach od 0.1.0 do 1.0.1 agent nie ogranicza długości deklarowanej przez obciążenie w wiadomości protobuf z ogranicznikiem długości otrzymywanej przez Control Interface FIFO. Obciążenie z dostępem do Control Interface może określić nadmierną długość wiadomości, powodując nieograniczoną alokację pamięci, co może przerwać proces agenta Ankaios. Skutkuje to utratą usług orkiestracji dla obciążeń zarządzanych przez tego agenta.
Ocena ryzyka
Ryzyko obejmuje awarię agenta Ankaios, co prowadzi do przerwania działania usług orkiestracji i potencjalnie do niedostępności zarządzanych obciążeń.
Rekomendacja
Zaleca się zaktualizowanie Eclipse Ankaios do wersji powyżej 1.0.1, która zawiera poprawkę ograniczającą długość wiadomości.
Inne podatności w Eclipse Ankaios
Zobacz wszystkie- CVE-2026-86836Wysokie
W Eclipse Ankaios w wersjach 0.1.0–1.0.2 agent tworzy pliki workloadów oraz nazwane potoki (FIFO) interfejsu sterowania w przewidywalnej ścieżce opartej na nazwie agenta i hashu konfiguracji. Jeśli ścieżka już istnieje przy starcie agenta, jest używana bez weryfikacji właściciela i uprawnień, co pozwala lokalnemu użytkownikowi na podszycie się pod workload i modyfikację stanu klastra.
- CVE-2026-84173Wysokie
W Eclipse Ankaios w wersjach od v0.5.1 do v1.0.1 autoryzator interfejsu sterowania po stronie agenta nieprawidłowo ocenia reguły zezwalające z wieloma segmentami, których pierwszy segment jest symbolem wieloznacznym. Uwierzytelnione obciążenie z ograniczonym dostępem może wysłać żądanie CompleteStateRequest lub UpdateStateRequest z pustą maską pól, które może zostać nieprawidłowo autoryzowane, umożliwiając odczyt całego stanu klastra lub modyfikację poza dozwolonym poddrzewem.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Ankaios versions 0.1.0 through 1.0.1, the agent does not limit the length declared by a workload in a length-delimited protobuf message received through the Control Interface FIFO. A workload granted Control Interface access can specify an excessive message length, causing an unbounded memory allocation that may abort the Ankaios agent process. This results in loss of orchestration services for workloads managed by the affected agent.