CVE-2026-96658: обход sandbox в Foreman ведёт к выполнению произвольного кода

В движке рендеринга шаблонов Foreman выявлена уязвимость, позволяющая подняться от низкопривилегированного доступа к полному выполнению кода на хосте. Проблеме присвоен идентификатор CVE-2026-96658, оценка по шкале CVSS составляет 8.8 — высокий уровень опасности.

Подробности

Уязвимость затрагивает Foreman — платформу управления жизненным циклом серверов, на которой построен Red Hat Satellite. Согласно описанию, атакующему достаточно быть аутентифицированным удалённым пользователем с низкими правами на чтение. Манипулируя списком разрешённых методов внутри движка рендеринга шаблонов, он может обойти изоляцию sandbox safemode, которая должна ограничивать доступный шаблонам функционал, и выполнить несанкционированные команды непосредственно на системе хоста.

Уязвимые продукты, перечисленные в записи CVE:

• Red Hat Satellite 6.16 for RHEL 8;
• Red Hat Satellite 6.16 for RHEL 9;
• Red Hat Satellite 6.17 for RHEL 9;
• Red Hat Satellite 6.18 for RHEL 9;
• Red Hat Satellite 6.19 for RHEL 9.

Ключевой риск в том, что эксплуатация не требует высоких привилегий: достаточно учётной записи с правом чтения. Для инфраструктур, где Foreman или Satellite используются как центральная точка управления парком серверов, компрометация такого узла может привести к распространению атаки на управляемые системы.

Что делать

Рекомендуется установить обновления Foreman и Red Hat Satellite, содержащие исправление CVE-2026-96658, — актуальные версии следует уточнять в бюллетенях Red Hat и в репозиториях проекта Foreman. До применения патчей стоит рассмотреть следующие митигации:

• ограничить круг пользователей, имеющих доступ к редактированию и рендерингу шаблонов, и пересмотреть выданные права на чтение;
• ужесточить контроль доступа к веб-интерфейсу и API Foreman, в том числе с помощью сетевых ограничений;
• включить журналирование действий с шаблонами и отслеживать подозрительную активность учётных записей с низкими привилегиями;
• проверить целостность конфигураций и наличие неожиданных изменений в списках разрешённых методов sandbox.

Итог: CVE-2026-96658 — серьёзная уязвимость, поскольку снимает ключевой защитный барьер между низкопривилегированным пользователем и операционной системой хоста. Организациям, использующим Foreman и Red Hat Satellite, следует приоритизировать обновление и до его установки усилить контроль доступа к шаблонам.

Источник: CVE Project (cvelistV5)