PT-2026-21979
CVE-2026-24005
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.6
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Kruise الأقدم من 1.8.3
إصدارات Kruise الأقدم من 1.7.5
الوصف
يتيح Kruise الإدارة الآلية للتطبيقات في Kubernetes. توجد ثغرة في وظيفة PodProbeMarker حيث لا يقيد التحقق من صحة webhook حقل «Host» في إعدادات الفحص المخصصة التي تستخدم معالجات TCPSocket أو HTTPGet. ونظرًا لأن kruise-daemon يعمل مع تمكين hostNetwork، فإنه يجري عمليات الفحص من مساحة اسم شبكة العقدة. يمكن للمهاجم الذي يمتلك صلاحية إنشاء PodProbeMarkers تحديد قيم تعسفية لحقل «Host» لإحداث تزوير طلب من جانب الخادم (SSRF) من العقدة، وإجراء مسح للمنافذ، وتلقي ردود عبر رسائل الحالة الخاصة بـ NodePodProbe. تتيح هذه الثغرة الوصول إلى الخدمات المحلية للعقدة، وبيانات التعريف السحابية، وموارد الشبكة الداخلية. لا تزال عملية الاستقصاء
tcpSocket معرضة للخطر، في حين يتم رفض عمليات الاستقصاء httpGet بواسطة webhook في OpenKruise v1.8.0. المكون المعرض للخطر هو PodProbeMarker والوظيفة المتأثرة هي newTCPSocketProber.التوصيات
الإصدارات الأقدم من 1.8.3: قم بالتحديث إلى الإصدار 1.8.3 أو أحدث.
الإصدارات الأقدم من 1.7.5: قم بالتحديث إلى الإصدار 1.7.5 أو أحدث.
قم بتقييد أذونات إنشاء PodProbeMarker.
قم بتطبيق سياسات شبكة تحد من حركة المرور الصادرة من kruise-daemon.
قم بمراجعة الموارد الحالية لـ PodProbeMarker.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾