CVE-2026-34940 CVSS 8.7 高危

CVE-2026-34940 KubeAI命令注入漏洞

披露日期: 2026-04-06

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-34940

漏洞类型

OS命令注入

CVSS评分

8.7 高危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

KubeAI

漏洞概述

KubeAI是专为Kubernetes设计的AI推理操作符。在0.23.2版本之前，该产品在构造启动探针脚本时，未对模型URL组件进行充分的清理和过滤。攻击者若拥有创建或更新Model自定义资源的权限，可利用此漏洞注入任意Shell命令。一旦漏洞被利用，攻击者能够在模型服务器Pod内执行恶意代码，严重影响容器安全。

技术细节

该漏洞位于KubeAI源码的`internal/modelcontroller/engine_ollama.go`文件中的`ollamaStartupProbeScript`函数。该函数使用`fmt.Sprintf`将用户提供的模型URL参数（如ref和modelParam）直接拼接到Shell命令字符串中，随后该字符串通过`bash -c`作为Kubernetes的启动探针被执行。由于缺乏对特殊字符（如`;`, `&`, `|`, `$()`等）的过滤，攻击者可以构造恶意的Model资源对象。当KubeAI控制器处理该资源并尝试启动模型服务时，注入的恶意命令将被Bash解析并执行。攻击者利用此漏洞可在Pod上下文中获得远程代码执行能力，进而可能窃取AI模型数据、凭证或进行横向移动。

攻击链分析

STEP 1

1. 权限获取

攻击者获取Kubernetes集群中Model自定义资源的创建或更新权限（PR:H）。

STEP 2

2. 恶意构造

攻击者编写包含Shell元字符的恶意Model YAML文件，利用`ref`或`modelParam`字段注入命令。

STEP 3

3. 资源部署

攻击者通过kubectl或API Server向集群提交恶意的Model资源。

STEP 4

4. 漏洞触发

KubeAI控制器检测到新Model，生成启动探针脚本，并通过bash执行包含注入内容的命令。

STEP 5

5. 命令执行

注入的任意Shell命令在模型服务器Pod内以运行时用户身份执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

apiVersion: kubeai.org/v1
kind: Model
metadata:
  name: malicious-poc
spec:
  # Attackers can inject shell commands into the 'ref' field
  # Example payload: ; touch /tmp/pwned;
  ref: "ollama://llama3; touch /tmp/pwned; #"
  # The resulting command executed by bash -c might look like:
  # ollama run ollama://llama3; touch /tmp/pwned; # ...
  imagePullSecrets: []
  minReplicas: 1
  resources: {}

影响范围

KubeAI < 0.23.2

防御指南

临时缓解措施

如果无法立即升级，建议通过Kubernetes RBAC严格限制Model资源的写入权限，仅允许受信任的管理员操作。同时，应开启Kubernetes审计日志，监控对Model资源的异常创建或更新请求，并检查Pod启动探针日志中是否包含异常的Shell命令模式。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表