KubeEdge CloudCore through 1.23.1 accepts node task status reports on its HTTPS server without...
Summary
KubeEdge CloudCore through 1.23.1 accepts node task status reports on its HTTPS server without...
Original description
The description as published by the source.
KubeEdge CloudCore through 1.23.1 accepts node task status reports on its HTTPS server without authentication verification. Attackers can reach CloudCore on port 10002 to mark upgrade jobs as succeeded or failed, deceiving the control plane about node upgrade status and blocking further upgrade scheduling.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
KubeEdge CloudCoreのバージョン1.23.1まで、HTTPSサーバーでのノードタスクステータスレポートを認証なしで受け入れる脆弱性があります。攻撃者はポート10002を介してCloudCoreにアクセスし、ジョブの成功や失敗を偽装することができます。これにより、制御プレーンを誤導し、さらなるアップグレードスケジューリングを妨げます。
KubeEdge CloudCoreで、認証なしにノードタスクのステータスレポートを受け入れる脆弱性。
KubeEdge CloudCore バージョン1.23.1までのHTTPSサーバー
攻撃者がノードアップグレードの成功または失敗を偽装し、制御プレーンを誤導可能。
最新バージョンへのアップデートを行う。認証機能を適切に実装することも推奨。
ファイアウォールでポート10002へのアクセスを制限する。
ログを確認し、不正なアップグレードステータス変更を監視する。