CVE-2026-55426 in linuxfabrik-lib
Сводка
по VulDB • 18.08.2026
linuxfabrik-lib предоставляет модули Python для доступа к базам данных, кеширования, выполнения команд оболочки и интеграции с API; при этом плагины мониторинга Linuxfabrik используют эти модули для запуска внешних команд мониторинга. Начиная с самых ранних затронутых версий вплоть до linuxfabrik-lib 5.0.0 и Linuxfabrik Monitoring Plugins 6.0.0, встроенные в плагины проверки (check plugins) включали управляемые пользователем значения в строки команд, передаваемые функции lib.shell.shell_exec(), которая разбивала строки по символам конвейера («pipe») и выполняла полученные команды. В плагине check-plugins/restic-check/restic-check параметр --repo мог внедрить команду с разделителем-конвейером в формируемый вызов restic, а выполнение с правами sudo позволяло скомпрометированной учетной записи nagios или icinga запускать эту команду от имени root. Общая библиотека также принимала строки команд и параметр оболочки (shell), тогда как множество плагинов формировали внешние команды на основе аргументов, находящихся под влиянием злоумышленника. Исправления требуют использования списков argv, всегда устанавливать shell=False, убрать разбивку по конвейерам и отклонять позиционные значения, похожие на опции, через функцию lib.shell.safe_cli_value(). Эти проблемы исправлены в linuxfabrik-lib 5.0.0 и Linuxfabrik Monitoring Plugins 6.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.