CVE-2026-42088

OpenC3 COSMOS: ominięcie uprawnień API i dostęp do usług wewnętrznych sieci Docker

CVSS 9.6v3.1pub. 2026-05-04upd. 2026-05-13

Podatność w komponencie Script Runner platformy OpenC3 COSMOS pozwala uwierzytelnionemu użytkownikowi na ominięcie kontroli uprawnień API i wykonanie nieautoryzowanych działań administracyjnych. Zagrożenie jest krytyczne, ponieważ atakujący może uzyskać dostęp do sekretów, zmodyfikować konfigurację systemu oraz odczytywać i zapisywać pliki w usługach wewnętrznych.

▸ Pokaż oryginał (EN)

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to version 7.0.0-rc3, the Script Runner widget allows users to execute Python and Ruby scripts directly from the openc3-COSMOS-script-runner-api container. Because all the docker containers share a network, users can execute specially crafted scripts to bypass the API permissions check and perform administrative actions, including reading and modifying data inside the Redis database, which can be used to read secrets and change COSMOS settings, as well as read and write to the buckets service, which holds configuration, log, and plugin files. These actions are normally only available from the Admin Console or with administrative privileges. Any user with permission to create and run scripts can connect to any service in the docker network. This issue has been patched in version 7.0.0-rc3.

🤖 Analiza AI

Jak działa

Widget Script Runner umożliwia użytkownikom uruchamianie skryptów Python i Ruby bezpośrednio z kontenera openc3-COSMOS-script-runner-api. Ponieważ wszystkie kontenery Docker współdzielą tę samą sieć wewnętrzną, spreparowany skrypt może nawiązać bezpośrednie połączenia z dowolnymi usługami w tej sieci, omijając mechanizmy weryfikacji uprawnień API. W ten sposób możliwy jest dostęp do bazy danych Redis (odczyt sekretów, zmiana ustawień COSMOS) oraz do usługi bucket przechowującej pliki konfiguracyjne, logi i wtyczki. Działania te normalnie wymagają uprawnień administracyjnych lub dostępu do Admin Console.

Skutki

Atakujący z uprawnieniami do tworzenia i uruchamiania skryptów może odczytać wrażliwe dane (sekrety, konfigurację), modyfikować ustawienia całego systemu COSMOS oraz odczytywać i nadpisywać pliki konfiguracyjne, logi i wtyczki — bez posiadania uprawnień administracyjnych.

Mitygacja

Należy zaktualizować OpenC3 COSMOS do wersji 7.0.0-rc3 lub nowszej (w tym 7.0.0). Patche dostępne w referencjach producenta na GitHub: https://github.com/OpenC3/cosmos/releases/tag/v7.0.0-rc3

Kogo dotyczy

OpenC3 COSMOS w wersjach poprzedzających 7.0.0-rc3

Uwagi

Podatność dotyczy środowisk kontenerowych Docker, w których kontenery OpenC3 COSMOS współdzielą sieć wewnętrzną. Exploit wymaga posiadania konta z uprawnieniami do tworzenia i uruchamiania skryptów (PR:L), jednak skutki są krytyczne ze względu na brak izolacji między kontenerami (CWE-250 — wykonywanie operacji z nadmiernymi uprawnieniami).