Foreman WebSocket 프록시 명령 주입 (CVE-2026-1961) — PoC

Foreman의 WebSocket 프록시(lib/ws_proxy.rb)에 존재하는 명령 주입 취약점에 대한 개념 증명(PoC)으로, Red Hat에 책임 있게 공개되었으며 패치되었습니다.

요약

Foreman의 WebSocket 프록시는 컴퓨트 리소스 제공자의 API 응답(예: VMware vSphere HostSystem.name)에서 가져온 정제되지 않은 host 값을 Open3.popen3를 통해 실행되는 셸 명령에 직접 삽입합니다. Foreman 인스턴스가 연결하는 컴퓨트 리소스 서버를 공격자가 제어하거나 스푸핑할 수 있는 경우, 관리자가 VM의 Console을 열 때 임의의 셸 명령을 주입하여 foreman 사용자 권한으로 원격 코드 실행(RCE)을 달성할 수 있습니다.

익스플로잇에 성공하면 Foreman의 데이터베이스 자격 증명과 암호화 키에 접근할 수 있게 되어, 저장된 모든 인프라 자격 증명(vCenter, AWS, SSH 키, API 토큰)이 노출되고 관리 대상 인프라로 추가 침투가 가능해집니다.

세부 정보


CVE	CVE-2026-1961
CWE	CWE-78 (OS 명령 주입)
CVSS 3.1	8.0 (높음) - `AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H`
영향받는 구성 요소	`lib/ws_proxy.rb`
영향받는 버전	Foreman 3.18.0 이하 (3.17.0에서 확인됨; 코드 경로는 2020년 이후 변경되지 않음)
수정된 버전	Foreman 3.18.1, 3.17.2, 3.16.3
인증 필요 여부	없음 (공격자가 악성 서버를 실행하며, Foreman 관리자는 정상 워크플로의 일부로 해당 서버에 인증함)
사용자 상호작용	관리자가 VM에서 Console을 클릭 (정상 워크플로)
보안 권고	https://access.redhat.com/security/cve/cve-2026-1961

근본 원인

lib/ws_proxy.rb:44에서 host 매개변수가 셸 명령 문자열에 직접 삽입됩니다:

cmd = "websockify --daemon --idle-timeout=#{idle_timeout} --timeout=#{timeout} #{port} #{host}:#{host_port}"

host는 컴퓨트 리소스 API 응답에서 가져오며, Open3.popen3를 통해 셸로 전달되기 전에 정제되지 않습니다.

개념 증명

malicious_vsphere_server.py는 인증과 VM 열거를 처리할 수 있을 정도의 최소한의 vSphere SOAP API를 구현하며, 셸 메타문자 페이로드가 포함된 오염된 HostSystem.name 값을 반환합니다.

사용법

python3 malicious_vsphere_server.py

재현 단계

공격자 시스템에서 악성 vSphere 서버 시작:
```
python3 malicious_vsphere_server.py
```
Foreman 컴퓨트 리소스 구성 (Foreman UI):
- Infrastructure → Compute Resources → Create Compute Resource로 이동
- Provider: VMware
- vCenter/Server: <attacker_ip>
- Username / Password: 임의 값 (user / pass)
- Load Datacenters (EvilDatacenter 로드됨)
- Display Type: VNC
- VNC Console Passwords 및 Enable Caching 선택 해제
- Submit
익스플로잇 트리거:
- Virtual Machines 탭으로 이동
- TestVM 찾기
- Actions → Console

Foreman 서버에서 RCE 확인:

find /tmp -name "vsphere_rce.txt" 2>/dev/null
cat /tmp/systemd-private-*/tmp/vsphere_rce.txt

예상 출력: foreman

작성자

Houssam Sahli (Malleum)

법적 고지

패치 이후 공개되었으며, 조정된 공개(coordinated disclosure) 절차를 따랐습니다. 승인된 보안 테스트 및 교육 목적으로만 제공됩니다. 소유하지 않았거나 테스트에 대한 명시적 허가를 받지 않은 시스템에 사용하지 마십시오.

CVE-2026-1961-foreman-poc

인기