CVE-2026-86836
WysokieCVSS 8.4Streszczenie
W Eclipse Ankaios w wersjach 0.1.0–1.0.2 agent tworzy pliki workloadów oraz nazwane potoki (FIFO) interfejsu sterowania w przewidywalnej ścieżce opartej na nazwie agenta i hashu konfiguracji. Jeśli ścieżka już istnieje przy starcie agenta, jest używana bez weryfikacji właściciela i uprawnień, co pozwala lokalnemu użytkownikowi na podszycie się pod workload i modyfikację stanu klastra.
Ocena ryzyka
Lokalny, nieuprzywilejowany użytkownik z dostępem zapisu do katalogu bazowego (np. współdzielonego /tmp) może przejąć interfejs sterowania workloadu i w zależności od uprawnień odczytać lub zmienić pożądany stan klastra.
Rekomendacja
Zaktualizuj Eclipse Ankaios do wersji nowszej niż 1.0.2, a do czasu aktualizacji ogranicz dostęp zapisu do katalogu $TMPDIR/ankaios i zweryfikuj uprawnienia istniejących ścieżek FIFO.
Inne podatności w Eclipse Ankaios
Zobacz wszystkie- CVE-2026-85201Średnie
W Eclipse Ankaios w wersjach od 0.1.0 do 1.0.1 agent nie ogranicza długości deklarowanej przez obciążenie w wiadomości protobuf z ogranicznikiem długości otrzymywanej przez Control Interface FIFO. Obciążenie z dostępem do Control Interface może określić nadmierną długość wiadomości, powodując nieograniczoną alokację pamięci, co może przerwać proces agenta Ankaios. Skutkuje to utratą usług orkiestracji dla obciążeń zarządzanych przez tego agenta.
- CVE-2026-84173Wysokie
W Eclipse Ankaios w wersjach od v0.5.1 do v1.0.1 autoryzator interfejsu sterowania po stronie agenta nieprawidłowo ocenia reguły zezwalające z wieloma segmentami, których pierwszy segment jest symbolem wieloznacznym. Uwierzytelnione obciążenie z ograniczonym dostępem może wysłać żądanie CompleteStateRequest lub UpdateStateRequest z pustą maską pól, które może zostać nieprawidłowo autoryzowane, umożliwiając odczyt całego stanu klastra lub modyfikację poza dozwolonym poddrzewem.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Ankaios versions 0.1.0 through 1.0.2, the agent creates workload files and Control Interface named pipes (FIFOs) under a predictable path derived from the agent name and a hash of the workload's runtime configuration. If a directory or FIFO already exists at that path when the agent (re)starts, the agent reuses it based only on an existence and/or file-type check, without validating its owner or permissions. A local, unprivileged user with write access to the same base directory (by default under `$TMPDIR/ankaios`, e.g. shared `/tmp`) can pre-create this path hierarchy, including the two Control Interface FIFOs, before the agent starts. The agent then treats the attacker-owned FIFOs as the legitimate Control Interface for the targeted workload. The attacker can complete the Control Interface handshake and issue requests using that workload's configured `controlInterfaceAccess` permissions, allowing impersonation of the workload and, depending on its configured permissions, unauthorized reading and/or modification of the cluster's desired state.