CVE-2026-46606

إصدارات Glances الأقدم من 4.5.5

يفشل محرك مراقبة KVM/QEMU الموجود في الملف glances/plugins/vms/engines/virsh.py في تنقية أسماء نطاقات الآلات الافتراضية (VM) المسترجعة من مخرجات الأمر virsh list --all. يتم تمرير هذه الأسماء إلى قوالب أوامر f-string التي تعالجها الدالة secure popen(). ونظرًا لأن الدالة secure popen() مصممة لتفسير && و| و> على أنها عوامل تشغيل في شل (shell)، يمكن للمستخدم الذي يمتلك أذونات لإنشاء أو إعادة تسمية آلة افتراضية KVM/QEMU إدخال هذه العوامل في اسم المجال لتنفيذ أوامر تعسفية. يحدث هذا التنفيذ بامتيازات مستخدم نظام التشغيل الذي يقوم بتشغيل Glances، والذي غالبًا ما يكون مستخدم root على مضيفات برنامج Hypervisor.

قم بالتحديث إلى الإصدار 4.5.5.

كإجراء تخفيفي مؤقت، قم بتقييد أذونات إنشاء أو إعادة تسمية الآلات الافتراضية KVM/QEMU على المستخدمين الموثوق بهم فقط.

قم بتشغيل Glances باستخدام حساب خدمة مخصص ذي امتيازات منخفضة بدلاً من حساب root للحد من تأثير الاستغلال المحتمل.