Injection de commandes via le proxy WebSocket de Foreman (CVE-2026-1961) — PoC

Preuve de concept pour une vulnérabilité d'injection de commandes dans le proxy WebSocket de Foreman (lib/ws_proxy.rb), divulguée de manière responsable à Red Hat et corrigée.

Résumé

Le proxy WebSocket de Foreman interpole une valeur host non assainie, issue de la réponse API d'un fournisseur de ressource de calcul (par exemple HostSystem.name de VMware vSphere), directement dans une commande shell exécutée via Open3.popen3. Un attaquant qui contrôle ou usurpe un serveur de ressource de calcul auquel une instance Foreman se connecte peut injecter des commandes shell arbitraires, obtenant ainsi une exécution de code à distance sous l'utilisateur foreman lorsqu'un administrateur ouvre la Console d'une VM.

Une exploitation réussie donne accès aux identifiants de base de données et aux clés de chiffrement de Foreman, exposant tous les identifiants d'infrastructure stockés (vCenter, AWS, clés SSH, jetons d'API) et permettant de pivoter plus avant dans l'infrastructure gérée.

Détails

CVE	CVE-2026-1961
CWE	CWE-78 (Injection de commandes OS)
CVSS 3.1	8.0 (Élevé) - AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Composant affecté	lib/ws_proxy.rb
Versions affectées	Foreman jusqu'à 3.18.0 inclus (confirmé sur 3.17.0 ; chemin de code inchangé depuis 2020)
Corrigé dans	Foreman 3.18.1, 3.17.2, 3.16.3
Authentification requise	Aucune (l'attaquant exécute le serveur malveillant ; l'administrateur Foreman s'y authentifie dans le cadre du flux de travail normal)
Interaction utilisateur	L'administrateur clique sur Console sur une VM (flux de travail normal)
Avis	https://access.redhat.com/security/cve/cve-2026-1961

Cause racine

À lib/ws_proxy.rb:44, le paramètre host est interpolé directement dans une chaîne de commande shell :

cmd = "websockify --daemon --idle-timeout=#{idle_timeout} --timeout=#{timeout} #{port} #{host}:#{host_port}"

host provient de la réponse API de la ressource de calcul et n'est jamais assaini avant d'être transmis à un shell via Open3.popen3.

Preuve de concept

malicious_vsphere_server.py implémente une API SOAP vSphere minimale, suffisante pour gérer l'authentification et l'énumération des VM, et renvoie une valeur HostSystem.name empoisonnée contenant une charge utile à métacaractère shell.

Utilisation

python3 malicious_vsphere_server.py

Étapes de reproduction

1. Démarrer le serveur vSphere malveillant sur le système de l'attaquant :

   python3 malicious_vsphere_server.py
   

2. Configurer une ressource de calcul Foreman (interface Foreman) :
   • Accéder à Infrastructure → Compute Resources → Create Compute Resource
   • Fournisseur : VMware
   • vCenter/Server : <attacker_ip>
   • Nom d'utilisateur / Mot de passe : n'importe lesquels (user / pass)
   • Charger les datacenters (charge EvilDatacenter)
   • Type d'affichage : VNC
   • Décocher VNC Console Passwords et Enable Caching
   • Valider
3. Déclencher l'exploitation :
   • Accéder à l'onglet Virtual Machines
   • Localiser TestVM
   • Actions → Console
4. Vérifier l'exécution de code à distance sur le serveur Foreman :

   find /tmp -name "vsphere_rce.txt" 2>/dev/null
   cat /tmp/systemd-private-*/tmp/vsphere_rce.txt
   

   Sortie attendue : foreman

Auteur

Houssam Sahli (Malleum)

Mentions légales

Publié après la correction, dans le cadre d'une divulgation coordonnée. Fourni uniquement à des fins de tests de sécurité autorisés et pédagogiques. Ne pas utiliser contre des systèmes que vous ne possédez pas ou pour lesquels vous ne disposez pas d'une autorisation explicite de test.