CVE-2026-24905 in Inspektor Gadget
Riassunto
di VulDB • 15/06/2026
Inspektor Gadget è un insieme di strumenti e framework per la raccolta di dati e l'ispezione di sistemi su cluster Kubernetes e host Linux utilizzando eBPF. Il binario `ig` fornisce un sotto-comando per la creazione di immagini, utilizzato per generare immagini OCI di gadget personalizzati. Una parte di questa funzionalità è implementata nel file `inspektor-gadget/cmd/common/image/build.go`. Il file `Makefile.build` è il modello Makefile impiegato durante il processo di compilazione. Questo file include dati controllati dall'utente in modo non sicuro: in particolare, alcuni parametri vengono incorporati senza un'adeguata escape nei comandi all'interno del Makefile. Prima della versione 0.48.1, questa implementazione è vulnerabile a command injection: un attaccante in grado di controllare i valori nella struttura `buildOptions` potrebbe eseguire comandi arbitrari durante il processo di compilazione. Un attaccante in grado di sfruttare questa vulnerabilità potrebbe eseguire comandi arbitrari sull'host Linux in cui viene lanciato il comando `ig`, se le immagini vengono compilate con il flag `--local`, oppure sul container di build invocato da `ig`, se il flag `--local` non viene fornito. La struttura `buildOptions` viene estratta dal manifesto gadget YAML passato al comando `ig image build`. Pertanto, l'attaccante avrebbe bisogno di un modo per controllare o l'intero file `build.yml` passato al comando `ig image build`, o una delle sue opzioni. Tipicamente, questo potrebbe verificarsi in uno scenario CI/CD che compila gadget non attendibili per verificarne la correttezza. La versione 0.51.1 risolve il problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.