CVE-2023-22496

Riepilogo

Netdata è un'opzione open source per il monitoraggio dell'infrastruttura in tempo reale e la risoluzione dei problemi. Un attaccante con la capacità di stabilire una connessione di streaming può eseguire comandi arbitrari sull'agente Netdata preso di mira. Quando viene attivato un alert, viene chiamata la funzione `health_alarm_execute`. Questa funzione esegue diversi controlli e poi accoda un comando chiamando `spawn_enq_cmd`. Questo comando viene popolato con diversi argomenti che non vengono sanificati. Uno di questi è il `registry_hostname` del nodo per cui viene generato l'alert. Fornendo un `registry_hostname` appositamente predisposto come parte dei dati di salute trasmessi in streaming a un agente Netdata (parent), un attaccante può eseguire comandi arbitrari sull'host remoto come effetto collaterale dell'alert generato. Si noti che i comandi vengono eseguiti come l'utente che esegue l'agente Netdata. Questo utente è di solito chiamato `netdata`. La capacità di eseguire comandi arbitrari può consentire a un attaccante di elevare i privilegi sfruttando altre vulnerabilità nel sistema, come quell'utente. Il problema è stato risolto in: Netdata agent v1.37 (stable) e Netdata agent v1.36.0-409 (nightly). Come workaround, lo streaming non è abilitato per impostazione predefinita. Se lo hai abilitato in precedenza, può essere disabilitato. Limitare l'accesso alla porta sull'agente ricevente a connessioni figlie fidate può mitigare l'impatto di questa vulnerabilità.

Fonti

• CVE-2023-22496-PoCPoC

  PoC per CVE-2023-22496: Netdata Agent <1.37 Iniezione di comandi del sistema operativo tramite registry_hostname