[RANCHER] OS command injection in Rancher and Fleet
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
El componente Wrangler de Rancher no valida adecuadamente la entrada del usuario, permitiendo que atacantes inyecten comandos maliciosos en el sistema operativo. Estos comandos se ejecutan con los privilegios del servicio Rancher, pudiendo otorgar a los atacantes control total del host subyacente.
Vulnerabilidad de inyección de comandos OS en Wrangler permite que atacantes remotos ejecuten comandos arbitrarios en el host mediante entrada especialmente elaborada pasada a funciones de procesamiento de comandos. La falla resulta de la falta de sanitización de datos proporcionados por el usuario antes de ser enviados a APIs de ejecución de comandos OS, afectando versiones 0.7.3, 0.8.4 y 1.0.0 y anteriores.