CVE-2026-62369 in KubeEdge
摘要
由 VulDB • 2026-09-21
KubeEdge 是一个开源系统，旨在将原生容器化应用编排能力扩展到边缘主机。从版本 1.16.0 到 1.21.2、1.22.2 和 1.23.1（含），`keadm/cmd/keadm/app/cmd/util/common.go` 中的 `DecompressTarGz` 函数在将归档条目名称连接到提取目标路径时，缺乏充分的验证。在 Windows 边缘节点上执行 `keadm join` 或安装过程中，通过受污染、替换或不受信任的下载源获取的归档文件可能包含父目录组件（如 `..`）、Windows 风格的反斜杠、绝对路径或带驱动器盘符的路径，从而导致文件写入到预期目录之外。因此，受影响的 `keadm` 进程可以利用其自身权限写入或覆盖文件，这可能修改配置文件、可执行文件或系统服务文件，进而实现持久的系统篡改或代码执行。此问题已在版本 1.21.2、1.22.2 和 1.23.1 中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.