CVE-2023-22496

Resumen

Netdata es una opción de código abierto para monitoreo y resolución de problemas de infraestructura en tiempo real. Un atacante con la capacidad de establecer una conexión de transmisión puede ejecutar comandos arbitrarios en el agente Netdata objetivo. Cuando se activa una alerta, se llama a la función `health_alarm_execute`. Esta función realiza diferentes comprobaciones y luego pone en cola un comando llamando a `spawn_enq_cmd`. Este comando se completa con varios argumentos que no están sanitizados. Uno de ellos es el `registry_hostname` del nodo para el cual se genera la alerta. Al proporcionar un `registry_hostname` especialmente manipulado como parte de los datos de estado que se transmiten a un agente Netdata (principal), un atacante puede ejecutar comandos arbitrarios en el host remoto como efecto secundario de la alerta generada. Tenga en cuenta que los comandos se ejecutan como el usuario que ejecuta Netdata Agent. Este usuario suele denominarse "netdata". La capacidad de ejecutar comandos arbitrarios puede permitir a un atacante escalar privilegios escalando otras vulnerabilidades en el sistema, como ese usuario. El problema se solucionó en: Netdata Agent v1.37 (estable) y Netdata Agent v1.36.0-409 (todas las noches). Como workaround, la transmisión en streaming no está habilitada de forma predeterminada. Si ha habilitado esto anteriormente, puede deshabilitarlo. Limitar el acceso al puerto del Agente destinatario a conexiones secundarias confiables puede mitigar el impacto de esta vulnerabilidad.

• CVE-2023-22496-PoCPoC

  PoC para CVE-2023-22496: Inyección de comandos del sistema operativo en Netdata Agent <1.37 mediante registry_hostname