CVE-2026-66297

livebook-dev livebook proqramında Əməliyyat Sistemi Əmrində istifadə olunan Xüsusi Elementlərin Yanlış Neytrallaşdırılması (OS Command Injection) zəifliyi, yaradılmış yerləşdirmə qurulum əmrlərinə əmr inyeksiyasına imkan verir. lib/livebook_web/live/hub/teams/deployment_group_agent_component.ex faylındakı LivebookWeb.Hub.Teams.DeploymentGroupAgentComponent.docker_instructions/2 və LivebookWeb.Hub.Teams.DeploymentGroupAgentComponent.fly_instructions/4 funksiyaları, yerləşdirmə qrupunun mühit dəyişəni dəyərlərini shell escape edilmədən yaradılan Docker və Fly.io qurulum əmrlərinə daxil edir. Dəyərlər yerləşdirmə qrupu konfiqurasiyasından gəlir və Livebook.Hubs.Dockerfile.online_docker_info/3 vasitəsilə sinklərə çatır. Hər iki sink dəyəri qoşa dırnaqla əhatə olunmuş shell sözünün daxilinə yerləşdirir, buna görə də $(...) və ya geri dırnaqlar (backticks) kimi əmr əvəzetməsi ehtiva edən dəyər, dırnaqlardan çıxmağa ehtiyac qalmadan shell tərəfindən icra edilir və hərfi qoşa dırnaq işarəsi dırnaqaltı sözü sonlandıraraq ixtiyari növbəti tokenlərə yol açır. Yaradılmış əmr Livebook veb interfeysində kopyalama düyməsi ilə birlikdə göstərilir, beləliklə, onu kopyalayan və nəzərdən keçirmədən işə salan istifadəçi, inyeksiya edilmiş əmrləri öz maşınında, öz hesabı altında icra etmiş olur. Hücumçu yerləşdirmə qrupunun mühit dəyişənlərini təyin etmək üçün kifayət qədər imtiyaza mal olmalıdır, nəticədə kodun icrası isə yaradılmış əmri işə salan şəxsin maşınında baş verir. Kubernetes təlimatları buna təsir etmir, çünki onlar eyni dəyərləri shell əmrinə deyil, escape edilmiş şəkildə YAML manifestinə yerləşdirirlər. Bu problem livebook versiyalarını əhatə edir: 0.13.0-dan 0.18.7-yə qədər və 0.19.0-dan 0.19.9-a qədər.