Deno: OS-Command-Injection in node:child_process unter Windows

Zusammenfassung

Deno-Versionen 2.7.0 bis 2.9.7 unter Windows maskieren Shell-Argumente für den falschen Shell-Typ in node:child_process. Ein Angreifer, der untrusted Argumente an Aufrufe mit der Option shell übergeben kann, kann OS-Befehle einschleusen und mit den Rechten des Deno-Prozesses ausführen. Voraussetzung ist eine Anwendung, die untrusted Eingaben an shell-fähige Aufrufe weitergibt.

Betroffen

• Deno 2.7.0 bis 2.9.7 unter Windows (gemäss CVE-Eintrag und VulnCheck)
• Andere Plattformen: gemäss CVE-Eintrag nicht betroffen

Behoben in

• Unbekannt. Eine sekundäre Quelle nennt Deno 2.9.8 oder neuer, der Hersteller hat dies jedoch nicht bestätigt und das Änderungsprotokoll von Deno 2.9.8 führt die Korrektur nicht eindeutig auf.
• Ein GitLab-Advisory zu CVE-2026-49402 beschreibt eine verwandte Windows-Schwachstelle und nennt 2.7.10 als behobene Version; der Widerspruch ist nicht aufgelöst.

Umgehung

• Kein Workaround des Herstellers bekannt.
• Benutzergesteuerte Eingaben in shell-fähigen Aufrufen vermeiden; shell: false (Standard) verwenden und Eingaben validieren oder bereinigen.
• Feste Befehls-Allowlists verwenden und untrusted Daten aus Befehlszeichenketten fernhalten.
• Deno mit minimalen OS-Rechten ausführen; Deno-Berechtigungen begrenzen eingeschleuste OS-Befehle nicht.

Ausnutzung

• CISA KEV: Gemäss verfügbaren Quellen nicht gelistet (nicht direkt im CISA-Katalog überprüft).
• Öffentlicher Proof of Concept: Für diese CVE keiner gefunden.
• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• Der EPSS-Wert ist vorläufig (0.01471 gemäss Vulners).

Unsere Empfehlung

• Prüfen, ob Deno auf Windows-Systemen installiert ist und welche Version eingesetzt wird, insbesondere im Bereich 2.7.0 bis 2.9.7.
• Auf die neueste Deno-Version aktualisieren und die behobene Version beim Hersteller bestätigen, bevor darauf vertraut wird.
• Anwendungen prüfen, die node:child_process mit der Option shell und untrusted Eingaben aufrufen; solche Eingaben entfernen oder bereinigen.
• Deno mit minimalen Rechten betreiben und auf unerwartete Kindprozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Deno fix pull request 36772 github.com
• Deno child_process.ts source (commit 0c07124, line 1339) github.com
• Deno child_process.ts source (commit 0c07124, line 1499) github.com
• Deno 2.9.8 release github.com
• Secondary analysis (dev.to) dev.to
• Vulners VulnRichment vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:03.