Eclipse Cheに遠隔コード実行の脆弱性、修正コミットを公開
Summary
Eclipse Cheのche-machine-execに、ネットワークから届く相手が認証なしでコンテナ内のコマンドを実行できる脆弱性が見つかりました。既定の設定のまま Eclipse Che 7.122.0 以前を運用している組織が対象です。まず自社の版と認証設定を洗い出し、到達できる範囲を絞ったうえで修正版への更新を進めてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Eclipse Cheのche-machine-execに、ネットワークから届く相手が認証なしでコンテナ内のコマンドを実行できる脆弱性が見つかりました。既定の設定のまま Eclipse Che 7.122.0 以前を運用している組織が対象です。まず自社の版と認証設定を洗い出し、到達できる範囲を絞ったうえで修正版への更新を進めてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Eclipse Foundation | Eclipse Che |
7.0.0 – 7.122.0 |
— |
Original description The description as published by the source.
The che-machine-exec service constructs a shell command by concatenating user-controlled input (the username and namespace fields from the /exec/init and /exec/config JSON endpoints) into a double-quoted sh -c "echo "..." > ..." invocation without any escaping. When che-machine-exec is run with authentication disabled (its default), any network-reachable attacker can achieve remote code execution in containers che-machine-exec is configured to access, via shell command substitution ($(...) or backticks).
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web emo@eclipse.org
- web emo@eclipse.org
- web emo@eclipse.org
- web nvd.nist.gov
- web github.com