KubeEdge: уязвимость CVE-2026-62370 позволяет аутентифицированному узлу вызвать отказ в обслуживании CloudHub
В KubeEdge обнаружена уязвимость CVE-2026-62370 (CVSS 6.5), связанная с неограниченным выделением памяти в компоненте viaduct packer. Аутентифицированный или скомпрометированный edge-узел может многократно отправлять специально сформированные заголовки пакетов, вызывая исчерпание памяти и сбои CloudHub. Проблема затрагивает версии с 1.0.0 до 1.21.2, 1.22.2 и 1.23.1.
Подробности
Уязвимость локализована в функции Reader.Read пакета pkg/viaduct/pkg/packer. При обработке входящих сообщений через путь обработки сообщений CloudHub viaduct функция доверяет 32-битному полю PackageHeader.PayloadLen, полученному от отправителя, и выделяет соответствующий объём памяти до проверки верхней границы. Поскольку проверка максимально допустимой длины выполняется уже после выделения буфера, злоумышленник может указать завышенное значение PayloadLen и тем самым инициировать выделение чрезмерного объёма памяти. Атака требует аутентификации: вредоносный или скомпрометированный edge-узел может многократно отправлять специально сформированные заголовки с завышенными заявленными длинами. Результатом становится исчерпание памяти, завершение процесса CloudHub, циклы его перезапуска и временное нарушение связи между облаком и edge-узлами. Уязвимость не предоставляет неаутентифицированного доступа и не позволяет напрямую выполнить произвольный код, однако способна привести к отказу в обслуживании. Проблема присутствует во всех версиях KubeEdge начиная с 1.0.0 и до 1.21.2, 1.22.2 и 1.23.1 включительно (то есть исправления появляются начиная с указанных версий). Затронуты продукты kubeedge/kubeedge.Что делать
Основная рекомендация — обновить KubeEdge до одной из исправленных версий: 1.21.2, 1.22.2 или 1.23.1. Именно в этих релизах устранена проблема неограниченного выделения памяти в viaduct packer. Если обновление невозможно в краткосрочной перспективе, следует рассмотреть компенсирующие меры: ограничить круг узлов, имеющих возможность аутентифицироваться на CloudHub, обеспечить строгий контроль и мониторинг состояния edge-узлов, а также настроить системы обнаружения аномалий, связанных с резким ростом потребления памяти процессом CloudHub и его перезапусками. Также полезно ограничить ресурсы процесса CloudHub на уровне контейнерной оркестрации, чтобы снизить масштаб последствий исчерпания памяти. Важно понимать, что эксплуатация требует действующих учётных данных edge-узла. Поэтому своевременный отзыв скомпрометированных или выведенных из эксплуатации узлов, ротация ключей и аудит подключённых edge-устройств существенно снижают поверхность атаки. Итог: CVE-2026-62370 — это уязвимость отказа в обслуживании среднего уровня критичности, не приводящая к выполнению кода или неаутентифицированному доступу, но способная нарушить связь между облаком и edge-инфраструктурой. Наиболее надёжное решение — плановое обновление до KubeEdge 1.21.2, 1.22.2 или 1.23.1 и контроль состояния подключённых узлов.Источник: CVE Project (cvelistV5)