Descripción
El servicio che-machine-exec construye un comando de shell concatenando entradas controladas por el usuario (los campos username y namespace de los endpoints JSON /exec/init y /exec/config) en una invocación sh -c "echo "..." > ..." entre comillas dobles sin ningún tipo de escape. Cuando che-machine-exec se ejecuta con la autenticación deshabilitada (su configuración predeterminada), cualquier atacante con acceso por red puede lograr la ejecución remota de código (RCE) en los contenedores a los que che-machine-exec está configurado para acceder, mediante sustitución de comandos de shell ($(...) o comillas invertidas).
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Eclipse Che Afectadas: 7.0.0 a 7.122.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en gitlab.eclipse.orggitlab.eclipse.org/security/vulnerability-reports/-/work_items/359
- Referencia en github.comgithub.com/eclipse-che/che-machine-exec/commit/a78541c29e5f48fd59a49c…
- Referencia en gitlab.eclipse.orggitlab.eclipse.org/security/cve-assignment/-/work_items/476
Ver el texto original en inglés (CVE.org)
Unauthenticated Command Injection via kubeconfig Username in che-machine-exec
The che-machine-exec service constructs a shell command by concatenating user-controlled input (the username and namespace fields from the /exec/init and /exec/config JSON endpoints) into a double-quoted sh -c "echo "..." > ..." invocation without any escaping. When che-machine-exec is run with authentication disabled (its default), any network-reachable attacker can achieve remote code execution in containers che-machine-exec is configured to access, via shell command substitution ($(...) or backticks).