„`html
Zusammenfassung
CVE-2026-63046 ist eine Schwachstelle vom Typ Argument Injection in Apache InLong mit hohem Schweregrad (CVSS 8.8). Die Anfälligkeit ermöglicht die Ausführung beliebiger Shell-Befehle durch unzureichende Validierung von Eingabeparametern im ModuleManager des Agent Installers. Betroffene Versionen sind Apache InLong 2.0.0 bis einschließlich 2.3.x.
Betroffene Systeme
Die Schwachstelle betrifft Apache InLong in den Versionen ab 2.0.0 bis vor 2.4.0. Dies umfasst alle Deployments mit dem Agent Installer Modul, insbesondere solche, die über Netzwerk erreichbar sind und der ModuleManager-Komponente exponiert sind.
Technische Details
Das Problem liegt in der Funktion ExcuteLinux.exeCmd() des ModuleManagers. Diese Funktion führt Shell-Befehle aus, ohne die eingehenden Argumente angemessen zu neutralisieren oder gegen eine Whitelist zu validieren. Ein Angreifer kann durch geschickte Konstruktion von Eingabeparametern Argument-Delimitern einschleusen und damit zusätzliche Shell-Befehle injizieren.
Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass ein entfernter Angreifer die Schwachstelle ohne Authentifizierung oder physischen Zugriff ausnutzen kann. Die fehlende Input-Validierung ermöglicht Command Injection Attacken mit vollständigen Systemprivilegien.
Empfohlene Massnahmen
Sofortmassnahmen:
- Upgrade auf Apache InLong Version 2.4.0 oder höher durchführen
- Alternativ: Cherry-Pick der Security-Patches aus Pull Request #12151 oder #12155 anwenden
- Netzwerkzugriff zum ModuleManager einschränken
- Firewall-Regeln implementieren, um nur autorisierte Systeme zu erlauben
Bewertung
CVSS-Score: 8.8 (High)
Angriffsvektor: Network
Authentifizierung erforderlich: Nein
Die hohe Bewertung spiegelt das signifikante Risiko wider. Remote Code Execution ohne Authentifizierung stellt eine kritische Bedrohung dar und sollte mit höchster Priorität adressiert werden.
„`