CVE-2026-24905

إصدارات Inspektor Gadget الأقدم من 0.48.1

Inspektor Gadget هو مجموعة أدوات وإطار عمل لجمع البيانات وفحص الأنظمة في مجموعات Kubernetes وأجهزة Linux المضيفة باستخدام eBPF. يتضمن الملف الثنائي ig أمرًا فرعيًّا لإنشاء الصور، والذي يستخدم ملف Makefile.build. يتضمن هذا الملف بيانات يتحكم فيها المستخدم دون تصفية مناسبة، مما يؤدي إلى ثغرة أمنية تتمثل في حقن الأوامر. يمكن للمهاجم الذي يتحكم في القيم الموجودة داخل بنية buildOptions تنفيذ أوامر عشوائية أثناء عملية إنشاء الصورة. يمكن استغلال هذه الثغرة في مضيف Linux الذي يتم فيه تشغيل الأمر ig، خاصةً عند استخدام العلامة --local، أو داخل حاوية البناء في حالة عدم استخدام هذه العلامة. يتم اشتقاق بنية buildOptions من بيان الأداة (gadget) بتنسيق YAML المقدم إلى الأمر ig image build، مما يتطلب التحكم في ملف build.yml أو خياراته لاستغلال الثغرة.

قم بالتحديث إلى الإصدار 0.48.1 أو أحدث.