glances に OSコマンドインジェクション (CVE-2026-32608)
概要
glances に OSコマンドインジェクション (CVE-2026-32608) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。対策: 4.5.2 以上に更新。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
Summary
The Glances action system allows administrators to configure shell commands that execute when monitoring thresholds are exceeded. These commands support Mustache template variables (e.g., {{name}}, {{key}}) that are populated with runtime monitoring data. The secure_popen() function, which executes these commands, implements its own pipe, redirect, and chain operator handling by splitting the command string before passing each segment to subprocess.Popen(shell=False). When a Mustache-rendered value (such as a process name, filesystem mount point, or container name) contains pipe, redirect, or chain metacharacters, the rendered command is split in unintended ways, allowing an attacker who controls a process name or container name to inject arbitrary commands.
Details
The action execution flow:
- Admin configures an action in glances.conf (documented feature):
[cpu]
critical_action=echo "High CPU on {{name}}" | mail admin@example.com
- When the threshold is exceeded, the plugin model renders the template with runtime stats (glances/plugins/plugin/model.py:943):
self.actions.run(stat_name, trigger, command, repeat, mustache_dict=mustache_dict)
-
The mustache_dict contains the full stat dictionary, including user-controllable fields like process name, filesystem mnt_point, container name, etc. (glances/plugins/plugin/model.py:920-943).
-
In glances/actions.py:77-78, the Mustache library renders the template:
出典: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
自動生成の要約
取得元のデータ (CVSS・CWE・影響バージョンなど) から SecPulse が定型文で組み立てた要約です。AI は使っていません。正確な内容は下の原文と参照URLで確認してください。
glances という製品で、CVE-2026-32608 という番号がついた弱点 (脆弱性) が見つかりました。
悪用されるとシステム全体を乗っ取られる可能性があります。
対策: glances を 4.5.2 以上に更新してください。
心配なら、システム担当者や製品の公式サイトで「glances CVE-2026-32608」を検索してください。
CVE-2026-32608 (glances) — CWE-78
攻撃ベクター: ローカル / 被害者操作不要
修正バージョン: 4.5.2 (即時適用推奨)
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。
glances に OSコマンドインジェクション (CWE-78) があります。
glances の影響バージョンはベンダーのアドバイザリで確認してください。
重要度: ?。悪用されるとシステム全体を乗っ取られる可能性があります。
4.5.2 に更新してください。
修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。
Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。
対応アクション
SOC/SREチームが順番に実行すべき具体的なステップとコマンド例
-
1影響範囲の特定 identify
grep -r 'glances' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
glancesを grep し、稼働しているサービス・バージョンを把握する。 -
2パッチ適用 patch
Upgrade glances to 4.5.2ステージング環境で 4.5.2 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3事後検証 verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
影響パッケージ
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2026-32608 glances
- Ubuntu UBUNTU-CVE-2026-32608 glances
参照URL
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com