CVE-2026-79755
WysokieCVSS 8.0Streszczenie
Nuclio, framework serverless, przed wersją 1.17.4 ma podatność na wstrzykiwanie komend OS w lokalnej platformie Docker. Przestrzeń nazw funkcji jest interpolowana bez walidacji do podwójnie cudzysłowionej komendy docker ps --filter, wykonywanej przez /bin/sh -c. Ponieważ domyślny typ uwierzytelniania to nop (brak uwierzytelniania), zdalny atakujący może wstrzyknąć dowolne komendy OS, które wykonują się jako root w kontenerze dashboardu, który posiada socket Docker, co prowadzi do przejęcia hosta.
Ocena ryzyka
Zdalny atakujący może uzyskać pełną kontrolę nad kontenerem dashboardu i hostem, co może prowadzić do całkowitego naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 1.17.4 lub nowszej, która zawiera poprawkę.
Inne podatności w Nuclio
Zobacz wszystkie- CVE-2026-79756Wysokie
Nuclio, framework serverless, przed wersją 1.17.4 ma niekompletną poprawkę dla nieuwierzytelnionego wstrzykiwania komend OS w dashboardzie na platformie lokalnej/Docker. Ścieżka list-all zasobów interpoluje parametr resourceNamespace bez cudzysłowów do komendy /bin/sh -c, co pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie metaznaków przez nagłówki HTTP i wykonanie dowolnych komend w kontenerze dashboardu.
- CVE-2026-79754Wysokie
Nuclio, framework serverless, od wersji 1.6.19 do przed 1.17.2 ma podatność w pipeline budowania dashboardu, która nie sanityzuje pola spec.build.tempDir przed użyciem go do konstrukcji komendy powłoki. Gdy włączony jest builder Kaniko, użytkownik z uprawnieniami do tworzenia funkcji może wstrzyknąć metaznaki powłoki i uzyskać wykonanie dowolnych komend w kontenerze dashboardu, który ma konto usługi Kubernetes z dostępem do Secrets, Pods, Jobs i Deployments.
- CVE-2026-52833Wysokie
Nuclio, framework serverless, przed wersją 1.16.5 ma podatność w runtime Java, która generuje plik build.gradle podczas budowania funkcji przy użyciu pakietu text/template Go. Szablon renderuje wartości runtimeAttributes.repositories[] z akcją {{ . }}, która nie wykonuje escapowania. Atakujący może osadzić zamykający nawias klamrowy, aby wyrwać się z bloku repositories i dodać dowolne instrukcje Groovy, które wykonują się bezwarunkowo podczas fazy konfiguracji Gradle.
- CVE-2026-52832Średnie
Nuclio to framework "Serverless" do przetwarzania zdarzeń w czasie rzeczywistym i danych. Przed wersją 1.16.5, Nuclio Dashboard udostępnia POST /api/functions bez uwierzytelniania domyślnie (tryb NOP auth). Pole spec.handler (np. mymodule:myfunction) jest parsowane przez funkcję functionconfig.ParseHandler(), która dzieli tylko na : — nie jest stosowana walidacja ścieżki dla części modułu. Problem naprawiono w wersji 1.16.5.
- CVE-2026-52831Wysokie
Nuclio przed wersją 1.16.4 zawiera podatność na wstrzykiwanie poleceń w konstrukcji wywołania curl dla wyzwalaczy cron. Klucze nagłówków event.headers i event.body nie są odpowiednio sanityzowane, co pozwala na wstrzyknięcie niebezpiecznych argumentów do polecenia wykonywanego w kontenerze CronJob.
- CVE-2026-45730Wysokie
Nuclio przed wersją 1.16.0 zawiera podatność w API zarządzania projektami w Nuclio Dashboard. Każdy uwierzytelniony użytkownik, nawet bez członkostwa w docelowym projekcie, może ominąć autoryzację OPA na ścieżkach zapisu (PUT /api/projects/{id}, DELETE /api/projects) i modyfikować lub usuwać dowolny projekt wraz z powiązanymi zasobami.
Oryginalny opis (angielski, źródło NVD)
Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.17.4, on the Nuclio local Docker platform, the function namespace is interpolated—unvalidated—into a double-quoted docker ps --filter "label=nuclio.io/namespace=<value>" command that is executed via the host shell (/bin/sh -c). Because the default auth kind is nop (unauthenticated), a remote attacker can inject arbitrary OS commands that run as root inside the dashboard container, which holds the Docker socket → host compromise. This issue has been patched in version 1.17.4.