CVE-2026-114278：che‑machine‑exec 允許未授權使用者執行任意指令
CVE-2026-114278 - Unauthenticated Command Injection via kubeconfig Username in che-machine-exec
che‑machine‑exec 服務因將使用者輸入直接拼接至 shell 指令，導致未啟用身份驗證時可被遠端執行任意指令。
- - 影響：任何可連線至服務的攻擊者都能在容器內執行程式。
- - 修補建議：立即啟用身份驗證、將服務升級至最新版、並在程式中對輸入進行消毒。
- - 參考資源：GitHub commit、GitLab CVE 追蹤。
未授權使用者可藉由 che‑machine‑exec 執行任意指令，請即時啟用身份驗證並升級至最新版。
The che-machine-exec service constructs a shell command by concatenating user-controlled input (the username and namespace fields from the /exec/init and /exec/config JSON endpoints) into a double-quoted sh -c "echo \"...\" > ...\" invocation without any escaping. When che-machine-exec is run with authentication disabled (its default), any network-reachable attacker can achieve remote code execution in containers che-machine-exec is configured to access, via shell command substitution ($(...) or backticks).
影響
受影響產品
以下產品受到 CVE-2026-114278 漏洞影響。
即使 cvefeed.io 知道受影響產品的精確版本，資訊也未呈現在下表中。
| ID | Vendor | Product | Action |
|---|---|---|---|
| 1 | Eclipse | che |
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們從各來源收集並顯示每個 CVE 的 CVSS 分數。
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS 3.1 | CRITICAL | e51fbebd-6053-4e49-959f-1b94eeb69a2c | ||||
| CVSS 3.1 | CRITICAL | MITRE-CVE | ||||
| CVSS 3.1 | CRITICAL | [email protected] |
透過對在 shell 指令中使用的使用者輸入進行消毒，修復命令注入漏洞。
- 對所有在 shell 指令中使用的使用者提供的輸入進行消毒。
- 避免直接將使用者輸入串接進指令。
- 確保服務啟用驗證。
- 將服務升級至最新版。
這裡提供一份精選的外部連結，提供深入資訊、實用解決方案與相關工具，關於 CVE-2026-114278。
CVE 針對特定漏洞例項，CWE 則對可能導致漏洞的常見缺陷或弱點進行分類。CVE-2026-114278 與下列 CWE 相關聯：
Common Attack Pattern Enumeration and Classification (CAPEC)
儲存攻擊模式，這些模式是對攻擊者利用 CVE-2026-114278 弱點所採用的常見屬性和方法的描述。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表是已在 GitHub 上釋出的公開漏洞和概念驗證的集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表是文章中提及 CVE-2026-114278 漏洞的新聞。
以下表格列出了隨時間對 CVE-2026-114278 漏洞所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
收到新的 CVE 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 che-machine-exec 服務透過將使用者控制的輸入（來自 /exec/init 與 /exec/config JSON 端點的使用者名稱和名稱空間欄位）串接到雙引號的 sh -c \"echo \"...\" > ...\" 呼叫中，且未做任何逃逸。當 che-machine-exec 以停用驗證（預設）執行時，任何可從網路到達的攻擊者皆可利用 shell 指令替換（$(...) 或反引號）在 che-machine-exec 被設定存取的容器中執行遠端程式碼。 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 新增 CWE CWE-78 新增 受影響 收到新的受影響值。 <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/114xxx/CVE-2026-114278.json">CVE-2026-114278</a> 新增 參考 https://github.com/eclipse-che/che-machine-exec/commit/a78541c29e5f48fd59a49cf206bc0e507628bd23 新增 參考 https://gitlab.eclipse.org/security/cve-assignment/-/work_items/476 新增 參考 https://gitlab.eclipse.org/security/vulnerability-reports/-/work_items/359
EPSS 是對未來 30 天內觀測到利用活動的機率的每日估計。下圖顯示該漏洞的 EPSS 分數歷史。