Injection de code dans org.yamcs:yamcs-core (CVE-2026-55559)
Résumé
Injection de code dans org.yamcs:yamcs-core (CVE-2026-55559). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via POST /api/instances. Atténuation : mise à jour vers 5.12.8 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
templateArgs sent to POST /api/instances (and PATCH /api/instances/{instance}) are written into the rendered instance config as raw text, then parsed as YAML and loaded. Yamcs instantiates each services: entry by its class:, so injecting YAML through a template arg lets you add a services: entry for org.yamcs.ProcessRunner and run a command on the host. The args aren't escaped for YAML or validated server-side.
Needs the CreateInstances privilege. With no security.yaml the guest user is superuser=true and the API is unauthenticated, so it's reachable without auth, same default exposure as CVE-2026-46562. The 5.12.7 algorithm-edit fix doesn't touch this path.
Details
VarStatement appends arg values with no escaping:
// yamcs-core/src/main/java/org/yamcs/templating/VarStatement.java:29
buf.append(value);
The only filter, EscapeFilter, does HTML escaping (& < > ' ") and leaves newlines, colons and indentation alone, so {{ x | escape }} doesn't help either. InstancesApi.createInstance forwards the args without checking them against the declared variables; the choices / required metadata is only used to render the web form.
Request to exec:
InstancesApi.createInstance (http/api/InstancesApi.java:169, checks CreateInstances)
→ YamcsServer.createInstance (YamcsServer.java:651, template.process(templateArgs))
→ rendered config loaded as YConfiguration
→ YamcsServerInstance instantiates services:…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-55559 a été découverte dans org.yamcs:yamcs-core.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /api/instances à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 9.8/10.
Action : mettez à jour org.yamcs:yamcs-core vers 5.12.8 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « org.yamcs:yamcs-core CVE-2026-55559 » sur le site de l'éditeur.
CVE-2026-55559 (org.yamcs:yamcs-core) — CWE-94 / CVSS v3 9.8
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : POST /api/instances / PATCH /api/instances/{instance} / templateArgs / org.yamcs.ProcessRunner
Correctif : 5.12.8 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une exécution de code arbitraire (CWE-94) affecte org.yamcs:yamcs-core. Les attaquants atteignent le code vulnérable via POST /api/instances sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de org.yamcs:yamcs-core. Surface d'attaque : POST /api/instances / PATCH /api/instances/{instance} / templateArgs / org.yamcs.ProcessRunner.
Gravité : Critique (CVSS 9.8/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 5.12.8.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers POST /api/instances (en-têtes d'auth malformés, méta-caractères SQL).
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで org.yamcs:yamcs-core を使っているサービスとバージョンを洗い出す。
-
2Hunt for indicators of compromise detect
grep 'POST /api/instances' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'アクセスログで
POST /api/instancesへの異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。 -
3Apply patch patch
Upgrade org.yamcs:yamcs-core to 5.12.8ステージング環境で 5.12.8 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 2 で見つけた異常検知の続報チェックを含めること。
-
4Post-deployment verification verify
Replay attack against POST /api/instances on staging to confirm patch closes the vectorパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com