Foreman WebSocket 代理命令注入 (CVE-2026-1961) — PoC

Foreman WebSocket 代理（lib/ws_proxy.rb）中命令注入漏洞的概念验证，已负责任地披露给 Red Hat 并已修补。

摘要

Foreman 的 WebSocket 代理将未经过滤的 host 值——来源于计算资源提供商的 API 响应（例如 VMware vSphere HostSystem.name）——直接插入到通过 Open3.popen3 执行的 shell 命令中。攻击者如果控制或伪造了 Foreman 实例所连接的计算资源服务器，就可以注入任意 shell 命令，当管理员打开虚拟机的控制台时，以 foreman 用户身份实现远程代码执行。

成功利用后可获取 Foreman 的数据库凭据和加密密钥，暴露所有存储的基础设施凭据（vCenter、AWS、SSH 密钥、API 令牌），并能够进一步渗透到受管基础设施中。

详情

根本原因

在 lib/ws_proxy.rb:44 处，host 参数被直接插入到 shell 命令字符串中：

cmd = "websockify --daemon --idle-timeout=#{idle_timeout} --timeout=#{timeout} #{port} #{host}:#{host_port}"

host 来自计算资源 API 响应，在通过 Open3.popen3 传递给 shell 之前从未被过滤。

概念验证

malicious_vsphere_server.py 实现了一个最小化的 vSphere SOAP API——足以处理认证和虚拟机枚举——并返回一个包含 shell 元字符载荷的恶意 HostSystem.name 值。

用法

python3 malicious_vsphere_server.py

复现步骤

1. 在攻击者系统上启动恶意 vSphere 服务器：
   root@kitploit:~

   python3 malicious_vsphere_server.py
   

2. 配置 Foreman 计算资源（Foreman UI）：
   • 导航至 Infrastructure → Compute Resources → Create Compute Resource
   • Provider：VMware
   • vCenter/Server：<attacker_ip>
   • Username / Password：任意（user / pass）
   • Load Datacenters（加载 EvilDatacenter）
   • Display Type：VNC
   • 取消勾选 VNC Console Passwords 和 Enable Caching
   • 提交
3. 触发利用：
   • 导航至 Virtual Machines 选项卡
   • 找到 TestVM
   • Actions → Console
4. 在 Foreman 服务器上验证 RCE：
   root@kitploit:~

   find /tmp -name "vsphere_rce.txt" 2>/dev/null
   cat /tmp/systemd-private-*/tmp/vsphere_rce.txt
   

   预期输出：foreman

作者

Houssam Sahli (Malleum)

法律声明

在补丁发布后发布，遵循协调披露流程。仅供授权的安全测试和教育目的使用。请勿对您不拥有或未获得明确测试许可的系统使用。