CVE-2026-25996
Publiée le 2026-02-12 · Dernière modification le 2026-06-17
Les utilisateurs d'Inspektor Gadget exécutant l'outil de manière interactive sur des hôtes Kubernetes ou Linux sont concernés car le logiciel ne nettoie pas les caractères de contrôle du terminal dans les données d'événements eBPF. Un attaquant situé à l'intérieur d'un conteneur observé peut envoyer une charge utile falsifiée qui injecte des séquences d'échappement ANSI dans le terminal de l'opérateur, permettant potentiellement de manipuler l'affichage ou d'exécuter des commandes spécifiques au terminal. Cette opération peut être réalisée à distance via le réseau, sans nécessiter d'authentification ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Inspektor Gadget is a set of tools and framework for data collection and system inspection on Kubernetes clusters and Linux hosts using eBPF. String fields from eBPF events in columns output mode are rendered to the terminal without any sanitization of control characters or ANSI escape sequences. Therefore, a maliciously forged – partially or completely – event payload, coming from an observed container, might inject the escape sequences into the terminal of ig operators, with various effects. The columns output mode is the default when running ig run interactively.