CVE-2026-52832-PoC-exploit-nuclio-dashboard

Nuclio Dashboard (modo NOP) acepta POST /api/functions sin autenticación. El campo spec.handler no está validado como ruta, por lo que ../../../../tmp/x.txt:handler escapa del directorio temporal de compilación mediante path.Join, permitiendo a un atacante escribir contenido arbitrario en cualquier ruta como root. (CVE-2026-52832, ≤1.15.27)

CVE-2026-52832 Nuclio Dashboard Travesía de directorios → Escritura arbitraria de archivos

Escritura arbitraria de archivos no autenticada (como root) en Nuclio Dashboard mediante travesía de directorios en spec.handler.

Resumen

Nuclio Dashboard en el modo de autenticación NOP predeterminado acepta POST /api/functions sin autenticación. El campo spec.handler (module:entrypoint) no se valida como ruta, por lo que un valor como ../../../../tmp/x.txt:handler escapa del directorio temporal de compilación mediante path.Join(tempDir, moduleFileName), permitiendo a un atacante escribir contenido base64 arbitrario (spec.build.functionSourceCode) en cualquier ruta del contenedor del Dashboard. El proceso se ejecuta como uid=0 (root).

Configuración del laboratorio

Objetivo vulnerable:

docker run -d --name nuclio-vuln -p 127.0.0.1:8070:8070 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  quay.io/nuclio/dashboard:1.15.27-amd64

Control corregido:

docker run -d --name nuclio-patched -p 127.0.0.1:8071:8070 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  quay.io/nuclio/dashboard:1.16.5-amd64

Espere hasta que curl http://127.0.0.1:8070/api/functions devuelva 200 {}.

Ejecución en un objetivo local

./poc/poc.sh http://127.0.0.1:8070 nuclio-vuln

Esperado: [+] SUCCESS se escribe un archivo marcador inocuo fuera del directorio temporal de compilación, propiedad de root.

Contra la imagen corregida, la misma solicitud se rechaza con HTTP 500 y Handler module name resolves outside the build directory, y no se crea ningún archivo.

Ejemplo: ejecución local con Docker

1. start vulnerable target

docker run -d --name nuclio-vuln -p 127.0.0.1:8070:8070
-v /var/run/docker.sock:/var/run/docker.sock
quay.io/nuclio/dashboard:1.15.27-amd64

2. wait until it answers

curl http://127.0.0.1:8070/api/functions # expect: {}

3. run

chmod +x poc.sh ./poc.sh http://127.0.0.1:8070 nuclio-vuln

Impacto

Un atacante de red no autenticado puede crear o sobrescribir cualquier archivo con contenido arbitrario en el sistema de archivos del contenedor del Dashboard como root.

Remediación

Actualice a Nuclio ≥ 1.16.5, que añade common.IsPathWithinDir antes de os.WriteFile en pkg/processor/build/builder.go. Además: habilite la autenticación en lugar de NOP, restrinja el acceso de red al Dashboard y evite montar el socket de Docker cuando no sea necesario.

Descargo de responsabilidad

Solo para investigación de seguridad autorizada y fines defensivos. El PoC incluido escribe únicamente un archivo marcador inofensivo con marca de tiempo. No lo ejecute contra sistemas que no sean suyos o sobre los que no tenga permiso para realizar pruebas.