Podatności KubeEdge

KubeEdge, open source system do rozszerzania natywnych możliwości orkiestracji kontenerów na hosty brzegowe, w wersjach od 1.16.0 do 1.21.2, 1.22.2 i 1.23.1 posiada podatność w funkcji DecompressTarGz w keadm/cmd/keadm/app/cmd/util/common.go. Funkcja łączy nazwy wpisów archiwum z miejscem rozpakowania bez wystarczającej walidacji. Podczas keadm join lub instalacji na węzłach brzegowych Windows archiwum pochodzące z niezaufanego źródła może zawierać komponenty katalogu nadrzędnego, ukośniki w stylu Windows, ścieżki absolutne lub ścieżki z prefiksem dysku, które wychodzą poza zamierzony katalog.

KubeEdge, open source system do rozszerzania natywnych możliwości orkiestracji kontenerów na hosty brzegowe, w wersjach od 1.21.0 do 1.21.2, 1.22.2 i 1.23.1 posiada podatność w przetwarzaniu ConfigUpdateJob w edge/pkg/taskmanager/actions/configupdatejob.go. Wartości updateFields kontrolowane przez uwierzytelnionego użytkownika są łączone z poleceniem keadm config-update i wykonywane przez powłokę systemową. Użytkownik z uprawnieniami do tworzenia lub modyfikowania zasobów ConfigUpdateJob może umieścić metaznaki powłoki w wartości --set i spowodować wykonanie dowolnych poleceń na docelowym węźle brzegowym z uprawnieniami procesu KubeEdge.

W KubeEdge od wersji 1.12.0 do 1.21.2, 1.22.2 i 1.23.1 handler v1alpha2 NodeUpgradeJob w edge/pkg/taskmanager/actions/nodeupgradejob.go łączy kontrolowane przez uwierzytelnionego użytkownika wartości spec.version i spec.image z poleceniem powłoki keadm upgrade edge. Użytkownik z uprawnieniem do tworzenia lub aktualizacji zasobów NodeUpgradeJob może podać metaznaki powłoki w którymkolwiek z tych pól, powodując wykonanie dowolnych poleceń na docelowych węzłach brzegowych.

KubeEdge od wersji 1.0.0 do 1.21.2, 1.22.2 i 1.23.1 ma podatność na wyczerpanie pamięci. Czytanie wiadomości przez pkg/viaduct/pkg/packer ufa 32-bitowemu polu PayloadLen z CloudHub, przydzielając pamięć przed walidacją górnego limitu. Uwierzytelniony złośliwy lub skompromitowany węzeł brzegowy może wysyłać spreparowane nagłówki, powodując wyczerpanie pamięci, zakłócenia pracy CloudHub i przerwy w komunikacji.