CVE-2026-114278 Unauthenticated Command Injection via kubeconfig Username in che-machine-exec

Description

The che-machine-exec service constructs a shell command by concatenating user-controlled input (the username and namespace fields from the /exec/init and /exec/config JSON endpoints) into a double-quoted sh -c "echo "..." > ..." invocation without any escaping. When che-machine-exec is run with authentication disabled (its default), any network-reachable attacker can achieve remote code execution in containers che-machine-exec is configured to access, via shell command substitution ($(...) or backticks).

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque

Réseau

Complexité

Faible

Privilèges requis

Aucun

Interaction

Aucune

Portée

Inchangée

Confidentialité

Élevé

Intégrité

Élevé

Disponibilité

Élevé

Produits et versions touchés