CVE-2026-16524
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W PCP (Performance Co-Pilot) w PMDA linux_sockets wykryto podatność na wstrzykiwanie poleceń przez metaznaki shell w metryce network.persocket.filter. Brak walidacji umożliwia atakującemu wykonanie dowolnych poleceń jako użytkownik PMDA podczas odświeżania metryk.
Ocena ryzyka
Atakujący może przejąć kontrolę nad procesem PMDA, co prowadzi do eskalacji uprawnień i potencjalnego przejęcia całego systemu monitorowanego przez PCP.
Rekomendacja
Należy natychmiast zaktualizować PCP do wersji zawierającej poprawkę walidacji metryki network.persocket.filter oraz ograniczyć dostęp do PMDA tylko dla zaufanych hostów.
Inne podatności w PCP
Zobacz wszystkie- CVE-2026-16529Wysokie
Przepełnienie liczby całkowitej ze znakiem w funkcji PCP __pmGetPDU() może być wykorzystane poprzez spreparowane pakiety sieciowe podczas przetwarzania PDU lub negocjacji SASL. Powoduje to trwałe oślepienie dotkniętego demona, prowadząc do całkowitej odmowy usługi (DoS) dla kolejnych odczytów pakietów.
- CVE-2026-16527Wysokie
Nieuwierzytelniony zdalny atakujący może ominąć kontrolę dostępu, wysyłając spreparowane żądania do punktu końcowego PCP pmproxy /store. Pozwala to atakującemu nadpisać dowolną metrykę PMDA, prowadząc do wykonania dowolnego kodu i przejęcia systemu.
- CVE-2026-16526Wysokie
Błąd w module linux_sockets PCP ujawnia niezabezpieczone połączenie wewnętrzne. Atakujący z początkowym wykonaniem kodu może wykorzystać to do eskalacji uprawnień i wykonania dowolnych poleceń jako root.
Oryginalny opis (angielski, źródło NVD)
A command injection flaw in PCP's linux_sockets PMDA allows malicious shell metacharacters via the network.persocket.filter metric. This failed validation lets attackers execute arbitrary commands as the PMDA user when metrics refresh.