PT-2025-28662
CVE-2025-53355
·
تاريخ النشر
2025-06-29
·
تاريخ التحديث
2025-07-09
الوصف من
CVSS 2.0
7.6
عاليةالمقاييسAV:N/AC:H/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات MCP Server Kubernetes الأقدم من 2.5.0
الوصف:
يُعتبر MCP Server Kubernetes عرضة لمشكلة حقن الأوامر بسبب الاستخدام غير المُعقَّم لمعلمات الإدخال داخل استدعاء لـ
child process.execSync. وهذا يسمح للمهاجم بحقن أوامر نظامية تعسفية، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم. توجد هذه الثغرة لأن الخادم يقوم بإنشاء وتنفيذ أوامر شل باستخدام مدخلات المستخدم غير المُثبتة صحةً مباشرةً داخل سلاسل أوامر سطر الأوامر، مما يفتح الباب أمام إمكانية حقن أحرف شل الخاصة. يمكن استغلال الثغرة الأمنية من خلال الحقن غير المباشر لموجه الأوامر عبر سجلات البودات أو عن طريق إنشاء مدخلات ضارة مباشرةً لأداة kubectl scale.التوصيات:
إصدارات خادم MCP Kubernetes الأقدم من 2.5.0: قم بالتحديث إلى الإصدار 2.5.0 أو أحدث لحل هذه الثغرة الأمنية. كحل مؤقت، تجنب استخدام
child process.execSync مع مدخلات غير موثوقة. ضع في اعتبارك استخدام child process.execFileSync بدلاً من ذلك، حيث يتيح تمرير الوسيطات كمصفوفة منفصلة، مما يمنع تفسيرها بواسطة شل.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾