Kubeedge
Уязвимости
8
Эксплуатируемые
0
Макс. CVSS
7.5
Макс. EPSS
0.01335
Распределение по критичности
Критический
0
Высокий
1
Средний
7
Низкий
0
Затронутые диапазоны версий
< 1.9.3< 1.9.4
Также сопоставлено как (исходные строки): kubeedge
Топ уязвимостей
CVE-2022-31073KubeEdge — это система с открытым исходным кодом для расширения возможностей оркестрации контейнерных приложений на хосты на границе сети. В версиях до 1.11.1, 1.10.2 и 1.9.4 сервер ServiceBus на стороне Edge может быть подвержен DoS-атаке, если ему отправляется HTTP-запрос, содержащий очень большое тело. Возможно истощение памяти узла. Следствием истощения является то, что другие службы на узле, например, другие контейнеры, не смогут выделить память, что приведет к отказу в обслуживании. Злонамеренные приложения, случайно полученные пользователями на хосте и имеющие доступ к отправке HTTP-запросов на localhost, могут совершить атаку. Это повлияет только в том случае, если пользователи включат модуль `ServiceBus` в файле конфигурации `edgecore.yaml`. Эта ошибка исправлена в Kubeedge 1.11.1, 1.10.2 и 1.9.4. В качестве обходного решения отключите модуль `ServiceBus` в файле конфигурации `edgecore.yaml`.
CVE-2022-31080KubeEdge — это система с открытым исходным кодом для расширения возможностей оркестрации контейнерных приложений на хосты на границе сети. В версиях до 1.11.1, 1.10.2 и 1.9.4 большой ответ, полученный viaduct WSClient, может вызвать DoS из-за истощения памяти. Все тело ответа считывается в память, что может позволить злоумышленнику отправить запрос, который вернет ответ с большим телом. Следствием истощения является отказ в обслуживании процесса, который вызывает WSClient. Программное обеспечение подвержено уязвимости, если пользователи, прошедшие проверку подлинности на стороне Edge, подключаются к `cloudhub` со стороны Edge через протокол WebSocket. Эта ошибка исправлена в Kubeedge 1.11.1, 1.10.2 и 1.9.4. В настоящее время нет известных обходных решений.
CVE-2022-31079KubeEdge — это система с открытым исходным кодом для расширения возможностей оркестрации контейнерных приложений на хосты на границе сети. В версиях до 1.11.1, 1.10.2 и 1.9.4 сервер Cloud Stream и сервер Edge Stream считывают все сообщение в память, не накладывая ограничение на размер этого сообщения. Злоумышленник может воспользоваться этим, отправив большое сообщение для истощения памяти и вызова DoS. В этом случае сервер Cloud Stream и сервер Edge Stream подвергаются DoS-атаке. Следствием истощения является отказ в обслуживании CloudCore и EdgeCore. Только аутентифицированный пользователь может вызвать эту проблему. Это повлияет только в том случае, если пользователи включат модуль `cloudStream` в файле конфигурации `cloudcore.yaml` и включат модуль `edgeStream` в файле конфигурации `edgecore.yaml`. Эта ошибка исправлена в Kubeedge 1.11.1, 1.10.2 и 1.9.4. В качестве обходного решения отключите модуль cloudStream в файле конфигурации `cloudcore.yaml` и отключите модуль edgeStream в файле конфигурации `edgecore.yaml`.
CVE-2022-31078KubeEdge — это система с открытым исходным кодом для расширения возможностей оркестрации контейнерных приложений на хосты на границе сети. В версиях до 1.11.1, 1.10.2 и 1.9.4 CloudCore Router не накладывает ограничение на размер ответов на запросы, сделанные REST-обработчиком. Злоумышленник может использовать эту слабость, чтобы сделать запрос, который вернет HTTP-ответ с большим телом и вызовет DoS CloudCore. В HTTP Handler API rest-обработчик делает запрос к предварительно заданному обработчику. Обработчик вернет HTTP-ответ, который затем считывается в память. Следствием истощения является отказ в обслуживании CloudCore. Только аутентифицированный пользователь облака может совершить атаку. Это повлияет только в том случае, если пользователи включат модуль `router` в файле конфигурации `cloudcore.yaml`. Эта ошибка исправлена в Kubeedge 1.11.1, 1.10.2 и 1.9.4. В качестве обходного решения отключите переключатель router в файле конфигурации `cloudcore.yaml`.
CVE-2022-31075KubeEdge — это система с открытым исходным кодом для расширения возможностей оркестрации контейнерных приложений на хосты на границе сети. В версиях до 1.11.1, 1.10.2 и 1.9.4 EdgeCore может быть подвержен DoS-атаке на CloudHub, если злоумышленник отправит специально созданный HTTP-запрос к `/edge.crt`. Если злоумышленник может отправить специально созданный HTTP-запрос к CloudHub, и этот запрос имеет очень большое тело, этот запрос может привести к сбою HTTP-службы из-за вектора истощения памяти. Тело запроса считывается в память, и тело, которое больше доступной памяти, может привести к успешной атаке. Поскольку запрос должен пройти авторизацию, только авторизованные пользователи могут выполнить эту атаку. Следствием истощения является отказ в обслуживании CloudHub. KubeEdge подвержен уязвимости только в том случае, если пользователи включают модуль CloudHub в файле `cloudcore.yaml`. Эта ошибка исправлена в Kubeedge 1.11.1, 1.10.2 и 1.9.4. В качестве обходного решения отключите переключатель CloudHub в файле конфигурации `cloudcore.yaml`.
CVE-2022-31074KubeEdge — это система с открытым исходным кодом для расширения возможностей оркестрации контейнерных приложений на хосты на границе сети. В версиях до 1.11.1, 1.10.2 и 1.9.4 несколько конечных точек в Cloud AdmissionController могут быть подвержены DoS-атаке, если ему отправляется HTTP-запрос, содержащий очень большое тело. Следствием истощения является отказ в обслуживании Cloud AdmissionController. Эта ошибка исправлена в Kubeedge 1.11.1, 1.10.2 и 1.9.4. В настоящее время нет известных обходных решений.
CVE-2022-31077KubeEdge построен на основе Kubernetes и расширяет возможности оркестрации контейнерных приложений и управления устройствами на хосты на границе сети. В уязвимых версиях вредоносный ответ на сообщение от KubeEdge может привести к сбою сервера контроллера CSI Driver, вызвав панику разыменования нулевого указателя. Как следствие, контроллер CSI Driver будет находиться в состоянии отказа в обслуживании. Эта ошибка исправлена в Kubeedge 1.11.0, 1.10.1 и 1.9.3. Пользователям следует обновиться до этих версий, чтобы решить проблему. На момент написания обходных путей не существует.
CVE-2022-31076KubeEdge построен на основе Kubernetes и расширяет возможности оркестрации контейнерных приложений и управления устройствами на хосты на границе сети. В уязвимых версиях вредоносное сообщение может вызвать сбой CloudCore, вызвав разыменование нулевого указателя в UDS Server. Поскольку UDS Server взаимодействует только с CSI Driver на стороне облака, атака ограничивается локальной хост-сетью. Таким образом, злоумышленник уже должен быть аутентифицированным пользователем Cloud. Кроме того, это повлияет только в том случае, если пользователи включат переключатель unixsocket в файле конфигурации cloudcore.yaml. Эта ошибка исправлена в Kubeedge 1.11.0, 1.10.1 и 1.9.3. Пользователям следует обновиться до этих версий, чтобы решить проблему. Пользователи, которые не могут выполнить обновление, должны отключить переключатель unixsocket CloudHub в файле конфигурации cloudcore.yaml.