🟠 CVE-2026-11572: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-11572 ist eine kritische Command-Injection-Schwachstelle im npm-Paket degit. Sie betrifft die Versionen vor 2.8.6 sowie 3.0.0 bis 3.3.1. Durch mangelhafte Input-Validierung können Angreifer beliebige Betriebssystem-Befehle mit den Privilegien des ausführenden Prozesses injizieren.

Betroffene Systeme

Die Sicherheitslücke betrifft alle Systeme, auf denen folgende degit-Versionen deployed sind:

• degit < 2.8.6
• degit ≥ 3.0.0 und < 3.3.1

Dies umfasst insbesondere Entwicklungsumgebungen, CI/CD-Pipelines und Produktionssysteme, die degit zur Verwaltung von Git-Repositories nutzen.

Technische Details

Die Vulnerability liegt in den Funktionen _cloneWithGit() und fetchRefs(). Diese führen Git-Befehle mittels exec() direkt aus, ohne Benutzer-Input angemessen zu sanitizen. Wenn ein Angreifer ein manipuliertes Repository mit speziellen Sonderzeichen (z.B. Shell-Metacharakter wie Semikolons, Pipes oder Command-Substitution) bereitstellt, können zusätzliche Befehle injiziert werden.

Ein Exploit-Szenario: Ein Repository-Name wie legit-repo; rm -rf / würde zusätzliche destruktive Befehle ausführen. Dies funktioniert durch das fehlende Escaping der Shell-Eingaben.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf degit 2.8.6 oder höher (für 2.x-Branch) sowie auf 3.3.1+ (für 3.x-Branch)
• Code-Review: Überprüfung aller Stellen, an denen degit mit untrusted Input aufgerufen wird
• Input-Validation: Implementierung zusätzlicher Validierung von Repository-Namen auf Anwendungsebene
• Principle of Least Privilege: Ausführung von degit mit minimalen erforderlichen Berechtigungen
• Monitoring: Überwachung unerwarteter Prozess-Spawning in Git-Operationen

Bewertung

CVSS Score: 8.8 (High)

Die hohe Bewertung ist gerechtfertigt durch die direkte Remote Code Execution (RCE)-Möglichkeit ohne Authentifizierung. Der Angriffsvektor Network ermöglicht eine einfache Ausnutzung. Ein Patch steht derzeit nicht zur Verfügung; nur ein Update auf patched Versionen hilft. Unternehmen sollten dieses Issue mit hoher Priorität behandeln.

„`