CVE-2026-86836

Eclipse Ankaios 0.1.0 ile 1.0.2 arasındaki sürümlerde agent; agent adı ve iş yükünün çalışma zamanı yapılandırmasının bir özetinden türetilen tahmin edilebilir bir yol altında iş yükü dosyaları ve Control Interface adlandırılmış boruları (FIFO'lar) oluşturur. Agent (yeniden) başladığında bu yolda halihazırda bir dizin veya FIFO mevcutsa, agent sahibi veya izinleri doğrulamadan yalnızca varlık ve/veya dosya türü kontrolüne dayanarak bunu yeniden kullanır. Aynı temel dizine (varsayılan olarak `$TMPDIR/ankaios`, örneğin paylaşılan `/tmp`) yazma erişimi olan yerel, ayrıcalıksız bir kullanıcı, agent başlamadan önce iki Control Interface FIFO'su da dahil olmak üzere bu yol hiyerarşisini önceden oluşturabilir. Ardından agent, saldırganın sahip olduğu FIFO'ları hedef iş yükü için meşru Control Interface olarak kabul eder. Saldırgan, Control Interface el sıkışmasını tamamlayabilir ve söz konusu iş yükünün yapılandırılmış `controlInterfaceAccess` izinlerini kullanarak istekler gönderebilir; bu durum iş yükünün taklit edilmesine ve yapılandırılan izinlerine bağlı olarak kümenin istenen durumunun yetkisiz şekilde okunmasına ve/veya değiştirilmesine olanak tanır.