Glances, XML-RPC सर्वर CORS वाइल्डकार्ड के माध्यम से क्रॉस-ओरिजिन सिस्टम जानकारी प्रकटीकरण के लिए असुरक्षित

Glances में CVE-2026-33533 भेद्यता उन इंस्टॉलेशन को प्रभावित करती है जो XML-RPC सर्वर का उपयोग करते हैं (glances -s या glances --server के साथ सक्षम)। सर्वर सभी HTTP अनुरोधों का जवाब Access-Control-Allow-Origin: * के साथ देता है, जिससे क्रॉस-ओरिजिन अनुरोध (CORS) की अनुमति मिलती है। Content-Type हेडर के सत्यापन की कमी के कारण, एक हमलावर दुर्भावनापूर्ण वेब पेज के माध्यम से CORS 'सरल' अनुरोध (Content-Type: text/plain के साथ POST) भेज सकता है जिसमें एक वैध XML-RPC पेलोड होता है। ब्राउज़र बिना प्रीफ़्लाइट जांच के इस अनुरोध को भेजता है, सर्वर XML बॉडी को संसाधित करता है और संपूर्ण सिस्टम निगरानी डेटासेट लौटाता है, जिससे संवेदनशील जानकारी उजागर होती है।

Systems running Glances versions 4.5.1 and earlier, particularly those exposed to untrusted networks or websites, are at risk. Shared hosting environments where multiple users share the same Glances instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability through a malicious website hosted on the same server.

• python / system monitoring:

ps aux | grep glances

• python / system monitoring: Check for Glances versions <= 4.5.1 using glances --version. • generic web: Monitor access logs for POST requests to the Glances XML-RPC endpoint with Content-Type: text/plain.

1. 2026-03-30Disclosure

   disclosure

1. आरक्षित2026-03-20
2. प्रकाशित2026-03-30
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-10

मुख्य शमन उपाय Glances को संस्करण 4.5.3 या उच्चतर में अपडेट करना है। यह संस्करण XML-RPC अनुरोधों को संसाधित करने से पहले Content-Type हेडर को मान्य करके इस भेद्यता को ठीक करता है। यदि तत्काल अपडेट संभव नहीं है, तो XML-RPC सर्वर को अक्षम करने (glances -s --no-rpc) या फ़ायरवॉल के माध्यम से सर्वर तक पहुंच को प्रतिबंधित करने की अनुशंसा की जाती है, जो सर्वर तक पहुंचने में सक्षम IP पतों को सीमित करता है। इसके अतिरिक्त, क्रॉस-ओरिजिन हमलों के जोखिम को कम करने के लिए ब्राउज़र सुरक्षा नीतियों की समीक्षा और मजबूत करना महत्वपूर्ण है।