Eclipse Che che-machine-exec: OS-Command-Injection über Benutzername und Namespace
Zusammenfassung
Der Dienst che-machine-exec von Eclipse Che erstellt einen Shell-Befehl aus den Feldern Benutzername und Namespace der JSON-Endpunkte /exec/init und /exec/config, ohne sie zu escapen. Bei deaktivierter Authentifizierung (Standard) kann ein über das Netzwerk erreichbarer Angreifer über Shell-Command-Substitution beliebige Befehle in Containern ausführen, auf die che-machine-exec zugreifen kann. Die CNA bewertet die Schwachstelle mit 9.8 (kritisch); VulDB bewertet sie mit 7.3.
Betroffen
- Eclipse Che che-machine-exec 7.0.0 bis 7.122.0 (inklusive), gemäss CNA-Eintrag
- Verwundbare Bedingung: Authentifizierung deaktiviert (Standardkonfiguration)
Behoben in
Unbekannt. Der Fix-Commit a78541c ergänzt eine Eingabevalidierung, in den Quellen wird jedoch kein korrigiertes Release genannt.
Umgehung
- Authentifizierung auf che-machine-exec aktivieren.
- Die Exec-Endpunkte (JSON-RPC/WebSocket-API) nicht für nicht vertrauenswürdige Netzwerke freigeben; Zugriff mit NetworkPolicies, Ingress-Regeln oder einem Reverse Proxy einschränken.
- In Multi-Tenant-Clustern einschränken, wer Workspaces erstellen darf.
- Hinweis: Der Fix verwendet eine Blockliste für Shell-Metazeichen; er ist als einzuspielender Patch zu betrachten, nicht als vollständige Massnahme.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Zum Stand der neuesten Quellen (28. Okt. 2026) wurde kein öffentlicher Proof of Concept oder Exploit gefunden.
- EPSS: 0.9 %.
Unsere Empfehlung
- Prüfen, ob Eclipse Che mit che-machine-exec eingesetzt wird, auch in Entwicklungsumgebungen.
- Authentifizierung umgehend aktivieren und den Netzwerkzugriff auf die Exec-Endpunkte einschränken.
- Anfragen an die Exec-Endpunkte und unerwartete Befehle in Workspace-Containern überwachen.
- Ein Update einplanen, sobald Eclipse ein korrigiertes Release nennt, und die tatsächlich eingesetzte che-machine-exec-Version prüfen.
- Prüfen, ob die frühere Schwachstelle CVE-2025-12548 in Ihrer Umgebung ebenfalls zutrifft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit a78541c (GitHub) github.com
- Eclipse CVE work item 476 gitlab.eclipse.org
- Eclipse vulnerability report 359 gitlab.eclipse.org
- VulDB 427962 vuldb.com
- OffSeq Radar threat entry radar.offseq.com
- Strix CVE-2026-114278 www.strix.ai
- Kodem CVE-2025-12548 (related issue) www.kodemsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.