CVE-2026-86836 in Ankaios
Zusammenfassung
von VulDB • 14.09.2026
In Eclipse Ankaios Versionen von 0.1.0 bis 1.0.2 erstellt der Agent Arbeitslastdateien und named Pipes (FIFOs) für die Control Interface unter einem vorhersehbaren Pfad, der aus dem Agentennamen und einem Hash der Laufzeitkonfiguration der Arbeitslast abgeleitet wird. Wenn ein Verzeichnis oder eine FIFO an diesem Pfad bereits existiert, wenn der Agent neu startet, verwendet er diese basierend ausschließlich auf einer Existenz- und/oder Dateitypprüfung wieder, ohne deren Eigentümer oder Berechtigungen zu validieren. Ein lokaler, nicht privilegierter Benutzer mit Schreibzugriff auf das gleiche Basisverzeichnis (standardmäßig unter `$TMPDIR/ankaios`, z. B. gemeinsam genutztes `/tmp`) kann diese Pfadhierarchie einschließlich der beiden Control Interface FIFOs vor dem Start des Agents vorbereiten. Der Agent behandelt dann die vom Angreifer kontrollierten FIFOs als die legitime Control Interface für die betroffene Arbeitslast. Der Angreifer kann den Handshake der Control Interface abschließen und Anfragen unter Verwendung der konfigurierten `controlInterfaceAccess`-Berechtigungen dieser Arbeitslast ausführen, was eine Identitätsmissbrauchs-Szenarien (Impersonation) ermöglicht und je nach deren Konfiguration unbefugtes Lesen und/oder Ändern des gewünschten Zustands des Clusters erlaubt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.