CVE-2025-12548

Krytyczne

Opublikowano: 13/01/2026(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

W Eclipse Che che-machine-exec znaleziono lukę, która umożliwia nieautoryzowane zdalne wykonywanie dowolnych poleceń oraz wyciek sekretów (kluczy SSH, tokenów itp.) z kontenerów Developer Workspace innych użytkowników. Luka ta jest dostępna poprzez nieautoryzowane API JSON-RPC / websocket na porcie TCP 3333.

Ocena ryzyka

Organizacja jest narażona na poważne ryzyko związane z nieautoryzowanym dostępem do wrażliwych danych oraz możliwością zdalnego wykonywania poleceń, co może prowadzić do kompromitacji systemów.

Rekomendacja

Zaleca się natychmiastowe zablokowanie dostępu do portu TCP 3333 oraz wdrożenie odpowiednich mechanizmów uwierzytelniania dla API, aby zminimalizować ryzyko związane z tą podatnością.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in Eclipse Che che-machine-exec. This vulnerability allows unauthenticated remote arbitrary command execution and secret exfiltration (SSH keys, tokens, etc.) from other users' Developer Workspace containers, via an unauthenticated JSON-RPC / websocket API exposed on TCP port 3333.