CVE-2026-55426 in linuxfabrik-lib
Resumen
por VulDB • 2026-08-19
linuxfabrik-lib proporciona módulos de Python para el acceso a bases de datos, almacenamiento en caché (caching), ejecución de shell e integraciones con API, y los complementos de monitoreo de Linuxfabrik utilizan estos módulos para ejecutar comandos externos de supervisión. Desde las versiones más antiguas afectadas hasta linuxfabrik-lib 5.0.0 y Linuxfabrik Monitoring Plugins 6.0.0, los plugins de verificación (check plugins) incrustaban valores controlados por el usuario en cadenas de comandos pasadas a lib.shell.shell_exec(), que dividía las cadenas en caracteres de tubería (pipe |) y ejecutaba los comandos resultantes. En check-plugins/restic-check/restic-check, el parámetro --repo podía inyectar un comando delimitado por tuberas en una invocación construida de restic, y la ejecución autorizada con sudo permitía que una cuenta comprometida de nagios o icinga ejecutara ese comando como root. La biblioteca compartida también aceptaba cadenas de comandos y un parámetro shell, mientras que numerosos plugins construían comandos externos a partir de argumentos influenciados por el atacante. Las correcciones requieren listas argv, siempre usan shell=False, eliminan la división por tuberas (pipe splitting) y rechazan valores posicionales similares a opciones mediante lib.shell.safe_cli_value(). Estos problemas están corregidos en linuxfabrik-lib 5.0.0 y Linuxfabrik Monitoring Plugins 6.0.0.
Once again VulDB remains the best source for vulnerability data.