ZeroClaw: Path Traversal bei Plugin-Installation über wasm_path-Manifestfeld
Zusammenfassung
ZeroClaw-Versionen vor 0.8.5, die mit dem Feature plugins-wasm erstellt wurden, validieren das Feld wasm_path in Plugin-Manifesten bei der Installation nicht. Ein Angreifer, der einen Benutzer dazu bringt, ein manipuliertes Plugin zu installieren, kann beliebige Dateien ausserhalb des Plugin-Verzeichnisses schreiben, etwa Shell-Startdateien, was im Kontext des installierenden Benutzers zur Codeausführung führen kann. Voraussetzung ist, dass ein Benutzer das bösartige Plugin installiert; ein Proof of Concept existiert, eine aktive Ausnutzung ist jedoch nicht bekannt.
Betroffen
- ZeroClaw-Versionen vor 0.8.5, erstellt mit dem Feature plugins-wasm
- Builds ohne das Feature plugins-wasm werden nicht als betroffen beschrieben
Behoben in
- Upgrade auf ZeroClaw 0.8.5 oder neuer. Backports auf ältere Release-Linien sind nicht bekannt.
Umgehung
- Keine offizielle Workaround-Massnahme bekannt. Bis zum Upgrade nur Plugins aus vertrauenswürdigen Quellen installieren.
- WASM-Plugin-Unterstützung deaktivieren, falls sie nicht benötigt wird (Sekundärquelle).
Ausnutzung
- Proof of Concept verfügbar (CISA SSVC: Exploitation poc, Automatable: no).
- Keine bestätigte aktive Ausnutzung bekannt; nicht im CISA KEV-Katalog.
- EPSS unter 1%.
- Angriffsvektor ist lokal; Benutzerinteraktion erforderlich, keine Berechtigungen nötig.
Unsere Empfehlung
- ZeroClaw-Installationen identifizieren und prüfen, ob sie mit dem Feature plugins-wasm erstellt wurden.
- Betroffene Installationen auf 0.8.5 oder neuer aktualisieren.
- Bis zum Upgrade die Plugin-Installation auf geprüfte Quellen beschränken.
- Betroffene Systeme, insbesondere Entwickler-Workstations, auf unerwartete Änderungen an Shell-Startdateien prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-93f6-34w8-5g98 github.com
- VulnCheck advisory: ZeroClaw path traversal via plugin manifest wasm_path www.vulncheck.com
- ZeroClaw release v0.8.5 github.com
- Fix commit 432e034 github.com
- Vulnerable code: host.rs at v0.8.4 github.com
- OSV: CVE-2026-101885 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:41.
Referenzen der NVD (6)
- https://github.com/zeroclaw-labs/zeroclaw/blob/v0.8.4/crates/zeroclaw-plugins/src/host.rs#L238-L273
- https://github.com/zeroclaw-labs/zeroclaw/commit/432e034d3cb024610d5916a2f328678d151c1dd5
- https://github.com/zeroclaw-labs/zeroclaw/releases/tag/v0.8.5
- https://github.com/zeroclaw-labs/zeroclaw/security/advisories/GHSA-93f6-34w8-5g98
- https://www.vulncheck.com/advisories/zeroclaw-before-0.8.5-path-traversal-via-plugin-manifest-wasm-path
- https://github.com/zeroclaw-labs/zeroclaw/security/advisories/GHSA-93f6-34w8-5g98
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.