„`html
Zusammenfassung
CVE-2026-16524 ist eine Command Injection Schwachstelle in der linux_sockets PMDA (Performance Metric Domain Agent) von PCP (Performance Co-Pilot). Die Vulnerability ermöglicht die Ausführung beliebiger Befehle mit den Privilegien des PMDA-Benutzers durch unzureichende Validierung von Shell-Metazeichen in Metriken.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Systeme, auf denen PCP mit aktivierter linux_sockets PMDA installiert ist. Primär sind Linux-Distributionen gefährdet, die Performance Co-Pilot als Monitoring- oder Diagnostics-Tool nutzen. Eine genaue Versionierung wird derzeit nicht spezifiziert.
Technische Details
Die Verwundbarkeit liegt in der Verarbeitung des Metrik-Parameters network.persocket.filter. Dieses Feld unterliegt unzureichender Input-Validierung und akzeptiert Shell-Metazeichen wie Pipes (|), Kommandoverkettung (;, &&) und Befehlssubstitution ($(), Backticks).
Angreifer können über das Netzwerk speziell manipulierte Metriken-Anfragen senden. Bei der periodischen Aktualisierung der Metriken interpretiert die PMDA diese Metazeichen als Befehle und führt sie aus. Dies geschieht im Kontext des PMDA-Prozesses, typischerweise mit erhöhten Privilegien.
Der fehlende Output-Escaping und Command-Parameterization ermöglicht die nahtlose Code-Injection in Shell-Kontexten.
Empfohlene Massnahmen
Sofortmassnahmen:
- Netzwerkzugriff auf PCP-Ports (Standard: 44321) beschränken
- Firewall-Regeln implementieren, um nur autorisierte Clients zuzulassen
- PMDA-Prozesse mit minimal erforderlichen Privilegien ausführen
Langfristig:
- Auf gepatchte Versionen aktualisieren, wenn verfügbar
- Input-Validierung auf der Applikationsebene prüfen
- Regelmäßige Security-Updates durchführen
Bewertung
Mit einem CVSS-Score von 7.8 (High Severity) stellt diese Vulnerability eine erhebliche Sicherheitsbedrohung dar. Die Kombination aus lokalem Angriffsvektor und fehlenden Patches erfordert sofortige Aufmerksamkeit bei betroffenen Systemen.
„`