Podatności Eclipse Ankaios

W Eclipse Ankaios w wersjach od 0.6.0 do przed 1.0.4, funkcja `LogRule::matches` w autoryzatorze interfejsu sterowania agentem zatrzymuje się na pierwszym wzorcu wildcard w pojedynczej regule zamiast oceniać późniejsze wpisy. Może to spowodować pominięcie reguł `LogRule` typu deny i umożliwić nieautoryzowany dostęp do logów innego workloadu.

W Eclipse Ankaios w wersjach 0.1.0–1.0.2 agent tworzy pliki workloadów oraz nazwane potoki (FIFO) interfejsu sterowania w przewidywalnej ścieżce opartej na nazwie agenta i hashu konfiguracji. Jeśli ścieżka już istnieje przy starcie agenta, jest używana bez weryfikacji właściciela i uprawnień, co pozwala lokalnemu użytkownikowi na podszycie się pod workload i modyfikację stanu klastra.

W Eclipse Ankaios w wersjach od 0.1.0 do 1.0.1 agent nie ogranicza długości deklarowanej przez obciążenie w wiadomości protobuf z ogranicznikiem długości otrzymywanej przez Control Interface FIFO. Obciążenie z dostępem do Control Interface może określić nadmierną długość wiadomości, powodując nieograniczoną alokację pamięci, co może przerwać proces agenta Ankaios. Skutkuje to utratą usług orkiestracji dla obciążeń zarządzanych przez tego agenta.

W Eclipse Ankaios w wersjach od v0.5.1 do v1.0.1 autoryzator interfejsu sterowania po stronie agenta nieprawidłowo ocenia reguły zezwalające z wieloma segmentami, których pierwszy segment jest symbolem wieloznacznym. Uwierzytelnione obciążenie z ograniczonym dostępem może wysłać żądanie CompleteStateRequest lub UpdateStateRequest z pustą maską pól, które może zostać nieprawidłowo autoryzowane, umożliwiając odczyt całego stanu klastra lub modyfikację poza dozwolonym poddrzewem.