Red Hat - CVE-2026-12405

Il s'agit d'une vulnérabilité dans l'API /api/v2/job_invocations de Red Hat Satellite.

Red Hat Satellite est une plateforme de gestion du cycle de vie des systèmes Red Hat Enterprise Linux. Elle permet de configurer et de maintenir des systèmes sans fournir d'accès Internet public à leurs serveurs ou clients. Elle assure le provisionnement et la gestion de configuration d'environnements standards prédéfinis. Elle s'appuie sur les projets Foreman et Katello

Le composant concerné est rubygem-foreman_remote_execution. Seuls les modèles de tâche dont la propriété effective_user est définie sur overridable: true sont touchés. Le paramètre effective_user fourni dans la requête API n'est pas correctement assaini. L'injection a lieu lors de l'instanciation de l'environnement d'exécution de la tâche par le serveur Satellite. Elle ne dépend donc ni du contenu ni de la logique du modèle de tâche ou du playbook. L'attaquant doit disposer de la permission d'exécuter des modèles de tâche. Il injecte des commandes shell dans le paramètre.

Elle permet l'exécution de commandes arbitraires sur l'infrastructure cible avec les droits de l'utilisateur d'exécution. Red Hat indique qu'un attaquant aux privilèges limités peut obtenir le contrôle administratif complet des hôtes gérés. Il peut aussi contourner les restrictions des playbooks.