KubeEdge CloudCore through 1.23.1 accepts node task status reports on its HTTPS server without...
概要
KubeEdge CloudCore through 1.23.1 accepts node task status reports on its HTTPS server without...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
KubeEdge CloudCore through 1.23.1 accepts node task status reports on its HTTPS server without authentication verification. Attackers can reach CloudCore on port 10002 to mark upgrade jobs as succeeded or failed, deceiving the control plane about node upgrade status and blocking further upgrade scheduling.
出典: NIST National Vulnerability Database NVD GitHub Advisory
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
KubeEdge CloudCoreのバージョン1.23.1まで、HTTPSサーバーでのノードタスクステータスレポートを認証なしで受け入れる脆弱性があります。攻撃者はポート10002を介してCloudCoreにアクセスし、ジョブの成功や失敗を偽装することができます。これにより、制御プレーンを誤導し、さらなるアップグレードスケジューリングを妨げます。
KubeEdge CloudCoreで、認証なしにノードタスクのステータスレポートを受け入れる脆弱性。
KubeEdge CloudCore バージョン1.23.1までのHTTPSサーバー
攻撃者がノードアップグレードの成功または失敗を偽装し、制御プレーンを誤導可能。
最新バージョンへのアップデートを行う。認証機能を適切に実装することも推奨。
ファイアウォールでポート10002へのアクセスを制限する。
ログを確認し、不正なアップグレードステータス変更を監視する。