Prefect Git Parameter Injection Enables RCE on Workers via unsanitized commit_sha (CVE-2026-7366)

脆弱性概要 脆弱性名称: Gitパラメータインジェクションが、サニタイズされていない commit_sha を介してデプロイのプル（pull）ステップで worker 上でのRCE（リモートコード実行）を可能にします CVE番号: CVE-2026-7366 脆弱性の種類: CWE-94: コードインジェクション 重大度: Critical (9.9) 説明: Prefect の GitRepository ストアクラスは、ユーザーが制御する の値を、 セパレーターなしに git コマンドへの位置パラメータとして渡します。 パラメータは任意の文字列を受け入れ、フォーマット検証（16進数チェックなし、長さチェックなし）が実施されていません。これにより、外部プログラムの実行を指定する を含む、git フラグのインジェクションが可能になります。 デプロイのプルステップは Prefect サーバー上に保存され、worker によって実行されます。デプロイを作成できるユーザーは、worker マシン上での RCE を実現できます。 影響範囲 影響を受けるバージョン: 3.6.23 公開状態: 公開済み ステータス: フィックス待ち 発見者: kodareefS 修正方法 1. すべてのユーザーが制御する位置パラメータの前に を追加します： 2. のフォーマットを検証します： POC（概念実証）コード 影響 Prefect の worker マシン上でのリモートコード実行 (RCE) が可能です。デプロイ作成権限を持つユーザーが、デプロイからフロー実行を開始することで、インジェクションされた git フラグにより任意のコマンドが実行され、共有ワーカプールのすべての worker が侵害される状態になります。4つの独立したインジェクションポイントが特定されています。

目標達成 すべての支援者に感謝 — 100%達成しました！

Prefect Git Parameter Injection Enables RCE on Workers via unsanitized commit_sha (CVE-2026-7366)

目標達成すべての支援者に感謝 — 100%達成しました！