CVE-2026-92747
ŚrednieCVSS 5.0Streszczenie
W komponencie cockpit-machines wykryto błąd. Podatność pozwala lokalnemu atakującemu z możliwością analizy uruchomionych procesów na ujawnienie poufnych danych uwierzytelniających maszyny wirtualnej gościa (VM), takich jak rootPassword i userPassword. Dzieje się tak, gdy skrypt install_machine.py przekazuje te poświadczenia jako argument wiersza poleceń w formacie JSON podczas tworzenia lub instalacji VM. Ujawnienie jest ograniczone do okresu, gdy proces instalacji jest aktywny, i zależy od polityk widoczności procesów na hoście.
Ocena ryzyka
Lokalny atakujący może przechwycić hasła root i użytkownika maszyn wirtualnych, co może prowadzić do pełnej kompromitacji tych maszyn. Organizacje korzystające z cockpit-machines na systemach o słabo ograniczonej widoczności procesów są narażone na wyciek poświadczeń.
Rekomendacja
Ogranicz widoczność procesów dla nieuprzywilejowanych użytkowników lub zaktualizuj cockpit-machines do wersji, która nie przekazuje poświadczeń w wierszu poleceń. Rozważ stosowanie bezpieczniejszych metod przekazywania haseł, takich jak pliki z ograniczonym dostępem lub mechanizmy IPC.
Inne podatności w cockpit-machines
Zobacz wszystkie- CVE-2026-92768Średnie
W komponencie cockpit-machines wykryto błąd. Podatność pozwala lokalnemu atakującemu na ujawnienie poufnych danych uwierzytelniających maszyny wirtualnej (VM), w tym haseł w postaci jawnej, poprzez analizę argumentów wiersza poleceń procesu podczas tworzenia lub instalacji VM. Komponent cockpit-machines przekazuje wartości haseł bezpośrednio w wierszu poleceń, co czyni je widocznymi dla innych lokalnych użytkowników w systemach, gdzie argumenty procesów nie są ograniczone. Skuteczne wykorzystanie prowadzi do ujawnienia informacji, potencjalnie kompromitując dostęp do VM.
- CVE-2026-92745Średnie
W komponencie cockpit-machines wykryto błąd. Podatność pozwala lokalnemu atakującemu z możliwością analizy metadanych procesów na ujawnienie poufnego tokenu offline Red Hat Subscription Management (RHSM). Token jest ujawniany, gdy jest przekazywany jako argument wiersza poleceń do skryptu pomocniczego podczas procesu walidacji tokenu. Skuteczne wykorzystanie może prowadzić do naruszenia poufności, ponieważ ujawniony token może być użyty do żądania tokenów dostępu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in `cockpit-machines`. This vulnerability allows a local attacker with the ability to inspect running processes to expose sensitive guest virtual machine (VM) credentials, such as `rootPassword` and `userPassword`. This occurs when the `install_machine.py` script passes these credentials as a JSON command-line argument during VM creation or installation. The exposure is limited to the period when the installation workflow is active and depends on host process-visibility policies.