PT-2025-28662 · Unknown · Mcp-Server-Kubernetes

Dellalibera

·

Publicado

2025-06-29

·

Atualizado

2025-07-09

·

CVE-2025-53355

CVSS v2.0

7.6

Alta

VetorAV:N/AC:H/Au:N/C:C/I:C/A:C
Nome do Software Vulnerável e Versões Afetadas: Versões do MCP Server Kubernetes anteriores a 2.5.0
Descrição: O MCP Server Kubernetes é vulnerável a um problema de injeção de comando devido ao uso não sanitizado de parâmetros de entrada dentro de uma chamada para child process.execSync. Isso permite que um atacante injete comandos arbitrários do sistema, potencialmente levando à execução remota de código com os privilégios do processo do servidor. A vulnerabilidade existe porque o servidor constrói e executa comandos do shell usando entrada do usuário não validada diretamente dentro de strings de linha de comando, introduzindo a possibilidade de injeção de metacaracteres do shell. A vulnerabilidade pode ser explorada através de injeção indireta de prompt via logs de pods ou criando diretamente entrada maliciosa para a ferramenta kubectl scale.
Recomendações: Versões do MCP Server Kubernetes anteriores a 2.5.0: Atualize para a versão 2.5.0 ou posterior para resolver esta vulnerabilidade. Como solução temporária, evite usar child process.execSync com entrada não confiável. Considere usar child process.execFileSync em vez disso, o que permite passar argumentos como um array separado, evitando a interpretação do shell.

Exploit

Correção

RCE

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2026-00234
CVE-2025-53355
GHSA-GJV4-GHM7-Q58Q

Produtos afetados

Mcp-Server-Kubernetes