CVE-2022-31078
Açıklama
KubeEdge, yerel konteynerleştirilmiş uygulama orkestrasyon yeteneklerini uçtaki ana bilgisayarlara genişletmek için kullanılan açık kaynaklı bir sistemdir. 1.11.1, 1.10.2 ve 1.9.4 sürümlerinden önce, CloudCore Router, REST handler tarafından yapılan isteklere verilen yanıtların boyutuna herhangi bir sınır getirmez. Bir saldırgan, bu zayıflığı kullanarak büyük gövdeli bir HTTP yanıtı döndürecek bir istek yapabilir ve CloudCore üzerinde DoS'a neden olabilir. HTTP Handler API'de, rest handler önceden belirlenmiş bir handle'a istek gönderir. Handle, daha sonra belleğe okunan bir HTTP yanıtı döndürür. Kaynak tükenmesinin sonucu olarak CloudCore hizmet reddi durumuna geçer. Saldırı yalnızca bulutun kimliği doğrulanmış bir kullanıcısı tarafından gerçekleştirilebilir. Bu durumdan yalnızca kullanıcılar `cloudcore.yaml` yapılandırma dosyasında `router` modülünü etkinleştirdiğinde etkilenilir. Bu hata Kubeedge 1.11.1, 1.10.2 ve 1.9.4 sürümlerinde düzeltilmiştir. Geçici çözüm olarak, `cloudcore.yaml` yapılandırma dosyasındaki router anahtarı devre dışı bırakılmalıdır.
Nasıl düzeltilir
- linuxfoundation kubeedge1.9.4, 1.10.2, 1.11.1 ya da sonraki bir sürüm
- github.com/kubeedge/kubeedge1.11.1, 1.10.2, 1.9.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation kubeedge | v < 1.9.4, 1.10.0 ≤ v < 1.10.2, 1.11.0 ≤ v < 1.11.1 | 1.9.4, 1.10.2, 1.11.1 |
| github.com/kubeedge/kubeedgeGo | 1.11.0 ≤ v < 1.11.1, 1.10.0 ≤ v < 1.10.2, v < 1.9.4 | 1.11.1, 1.10.2, 1.9.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.