CVE-2026-54247
Açıklama
Skipper, servis kompozisyonu için bir HTTP yönlendiricisi ve ters vekil sunucusudur. 0.26.22 sürümünden önce, dataclients/kubernetes/admission/admission.go dosyasındaki Handler, :9443/admission adresindeki Kubernetes kabul uç noktasına gelen isteklerin gövdesini herhangi bir boyut sınırı olmaksızın doğrudan io.ReadAll(r.Body) işlemine iletmektedir. Küme içi ağ erişimine ve geçerli bir Kubernetes istemci sertifikasına sahip bir saldırgan, sınırsız bellek tahsisine ve Skipper işleminin bellek yetersizliği (out-of-memory) nedeniyle sonlanmasına neden olan çok büyük bir gövde gönderebilir. Bu aksama, pod oluşturma veya ilgisiz kabul denetleyicileri yerine yalnızca Ingress ve RouteGroup kabul işlemleriyle sınırlıdır ve Kubernetes normal şartlarda işlemi yeniden başlatır. Bu sorun 0.26.22 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/zalando/skipper0.26.22 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/zalando/skipperGo | v < 0.26.22 | 0.26.22 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.