Intake heeft een Command Injection via shell() Uitbreiding in Parameter Standaarden

Deze kwetsbaarheid is kritiek omdat een aanvaller, door een gemanipuleerd catalog YAML bestand te uploaden, in staat is om willekeurige shell commando's uit te voeren met de privileges van de intake proces. Dit kan leiden tot volledige controle over het systeem, inclusief data-exfiltratie, installatie van malware en verdere aanval op andere systemen in het netwerk. De impact is vergelijkbaar met andere OS Command Injection kwetsbaarheden, waarbij de aanvaller de mogelijkheid heeft om de onderliggende besturingssysteem te compromitteren. De blast radius is aanzienlijk, aangezien een succesvolle exploit de gehele server kan compromitteren.

Organizations utilizing Intake for data ingestion and catalog management are at risk, particularly those relying on user-supplied catalog sources. Environments with limited input validation or inadequate security controls on catalog processing are especially vulnerable. Shared hosting environments where multiple users can upload catalogs also present a heightened risk.

• python: Inspect Intake logs for unusual process executions or command line arguments related to catalog parsing. Use ps aux | grep intake to monitor running processes and look for unexpected commands. • linux / server: Monitor system logs (e.g., /var/log/syslog, /var/log/auth.log) for suspicious command executions originating from the Intake process. Use auditd to track file access and system calls related to catalog parsing. • generic web: Examine web server access logs for requests to catalog endpoints containing suspicious YAML content. Look for patterns indicative of shell command injection attempts.

1. 2026-03-19Disclosure

   disclosure

1. Gereserveerd2026-03-18
2. Gepubliceerd2026-03-19
3. Gewijzigd2026-03-25
4. EPSS bijgewerkt2026-04-01

De primaire mitigatie is het upgraden van intake naar versie 2.0.9 of hoger, waar deze kwetsbaarheid is verholpen. Indien een upgrade direct niet mogelijk is, kan men overwegen om de toegang tot catalog YAML bestanden te beperken tot vertrouwde bronnen. Het implementeren van een Web Application Firewall (WAF) met regels die shell commando's in YAML bestanden detecteren en blokkeren, kan een tijdelijke bescherming bieden. Controleer ook de intake configuratie op onnodige permissies en beperk deze indien mogelijk. Na de upgrade, verifieer de fix door een test YAML bestand met een onschadelijk commando te laden en te controleren of dit commando niet wordt uitgevoerd.