CVE-2023-22496

Résumé

Netdata est une option open source pour la surveillance et le dépannage d'infrastructure en temps réel. Un attaquant capable d'établir une connexion de streaming peut exécuter des commandes arbitraires sur l'agent Netdata ciblé. Lorsqu'une alerte est déclenchée, la fonction `health_alarm_execute` est appelée. Cette fonction effectue différentes vérifications, puis met en file d'attente une commande en appelant `spawn_enq_cmd`. Cette commande est alimentée par plusieurs arguments qui ne sont pas assainis. L'un d'eux est le `registry_hostname` du nœud pour lequel l'alerte est déclenchée. En fournissant un `registry_hostname` spécialement conçu dans le cadre des données de santé diffusées en continu vers un agent Netdata (parent), un attaquant peut exécuter des commandes arbitraires sur l'hôte distant comme effet secondaire de l'alerte déclenchée. Notez que les commandes sont exécutées avec l'utilisateur qui exécute l'agent Netdata. Cet utilisateur est généralement nommé `netdata`. La capacité d'exécuter des commandes arbitraires peut permettre à un attaquant d'élever ses privilèges en exploitant d'autres vulnérabilités du système, en tant que cet utilisateur. Le problème a été corrigé dans : Netdata agent v1.37 (stable) et Netdata agent v1.36.0-409 (nightly). En guise de contournement, le streaming n'est pas activé par défaut. Si vous l'avez précédemment activé, il peut être désactivé. Limiter l'accès au port de l'agent destinataire aux connexions enfants de confiance peut atténuer l'impact de cette vulnérabilité.

• CVE-2023-22496-PoCPoC

  PoC pour CVE-2023-22496 : Netdata Agent <1.37 Injection de commandes OS via registry_hostname