CVE-2026-4837
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność na wstrzyknięcie eval() w logice beaconingu agenta Rapid7 Insight Agent dla systemów Linux. Teoretycznie atakujący mógłby zdalnie wykonać kod jako root poprzez spreparowaną odpowiedź beacon. Ze względu na wzajemne uwierzytelnianie TLS (mTLS) wykorzystanie jest mało prawdopodobne bez uprzedniego dostępu do platformy backendowej.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu z uprawnieniami root, ale wymaga uprzywilejowanego dostępu do platformy Rapid7. Mimo to, podatność stanowi poważne zagrożenie.
Rekomendacja
Zaktualizuj Rapid7 Insight Agent do najnowszej wersji. Ogranicz dostęp do platformy backendowej i monitoruj odpowiedzi beacon.
Inne podatności w Rapid7 Insight Agent
Oryginalny opis (angielski, źródło NVD)
An eval() injection vulnerability in the Rapid7 Insight Agent beaconing logic for Linux versions could theoretically allow an attacker to achieve remote code execution as root via a crafted beacon response. Because the Agent uses mutual TLS (mTLS) to verify commands from the Rapid7 Platform, it is unlikely that the eval() function could be exploited remotely without prior, highly privileged access to the backend platform.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS