„`html
Zusammenfassung
Die Schwachstelle CVE-2026-13501 betrifft ANTLR4 in den Versionen bis einschließlich 4.13.2. Sie ermöglicht Command Injection durch unsichere Eingabeverarbeitung in der GoTarget-Komponente. Das Risiko ist lokal begrenzt, da die Ausnutzung nur von lokalen Benutzern möglich ist. Der Schweregrad wird mit CVSS 5.3 als Medium eingestuft.
Betroffene Systeme
Betroffen sind alle Installationen von ANTLR4 bis Version 4.13.2. Das Problem tritt spezifisch in der Go-Code-Generierungskomponente auf, die für die Transpilation von ANTLR-Grammatiken in Go-Quellcode verantwortlich ist. Systeme, die ANTLR4 für die Entwicklung von Parsern nutzen, sind potentiell vulnerable.
Technische Details
Die Verwundbarkeit befindet sich in der Datei tool/src/org/antlr/v4/codegen/target/GoTarget.java. Die Funktion GoTarget verarbeitet Benutzereingaben unzureichend und leitet diese direkt an das gofmt-Tool weiter, ohne diese zu validieren oder zu desinfizieren. Dies ermöglicht einem lokalen Angreifer, beliebige Befehle einzuschleusen und auszuführen.
Der Angreifer benötigt Zugriff auf das System und die Fähigkeit, ANTLR4-Code-Generierung auszulösen. Durch manipulierte Grammatik-Eingaben lassen sich Shell-Befehle einschleusen und im Kontext des ANTLR-Prozesses ausführen.
Empfohlene Massnahmen
- Sofortige Überprüfung der eingesetzten ANTLR4-Versionen
- Beschränkung der lokalen Zugriffe auf Systeme mit ANTLR4-Installation
- Eingabevalidierung für Grammatik-Dateien implementieren
- Monitoring der Prozessausführung während Code-Generierung
- Ãœberwachung auf Sicherheits-Updates durch den Hersteller
Bewertung
Trotz des mittleren Schweregrads sollte diese Schwachstelle zeitnah adressiert werden. Die fehlende Patch-Verfügbarkeit und mangelnde Herstellerkommunikation erhöhen das Risiko. Unternehmen sollten Workarounds implementieren und lokale Zugriffe restriktiv kontrollieren, bis ein Patch zur Verfügung steht.
„`