Nx @nx/docker: OS-Command-Injection in der Release-Pipeline
Zusammenfassung
Das Paket @nx/docker des Monorepo-Werkzeugs Nx erstellt Docker-Tag-, Image-Suche- und Push-Befehle als Shell-Zeichenketten aus Konfigurationswerten des Releases. Ein Angreifer, der die Nx-Konfiguration verändern kann, zum Beispiel über einen Pull Request, kann während nx release version oder nx release publish beliebige Shell-Befehle ausführen. Diese Befehle laufen mit den Rechten des Release-Jobs und können Registry-Zugangsdaten oder Cloud-Token offenlegen.
Betroffen
- @nx/docker >= 21.4.0 und < 22.7.8
- @nx/docker >= 23.0.0 und < 23.1.1
Behoben in
- Upgrade auf 22.7.8 (22.x-Linie)
- Upgrade auf 23.1.1 (23.x-Linie)
Umgehung
- Der Hersteller bietet keine Workaround-Massnahme ausser dem Upgrade.
- Falls ein Release mit einer nicht vertrauenswürdigen Konfiguration lief, die generierte Docker-Versionsdatei vor dem nächsten Publish löschen.
- Änderungen an den release.docker-Einstellungen in Pull Requests prüfen, bevor Release-Jobs sie verwenden.
Ausnutzung
- CISA-SSVC-Bewertung im CVE-Eintrag: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung.
- Der Hersteller meldet keine bekannte Ausnutzung in freier Wildbahn.
Unsere Empfehlung
- Lockfiles und CI-Pipelines auf @nx/docker in den betroffenen Bereichen prüfen und auf 22.7.8 oder 23.1.1 aktualisieren.
- Release-Jobs so einschränken, dass Pull Requests aus nicht vertrauenswürdigen Quellen die Release-Konfiguration nicht ändern und nicht auf Registry- und Cloud-Zugangsdaten zugreifen können.
- Registry- und Cloud-Zugangsdaten rotieren, falls ein Release-Job eine nicht vertrauenswürdige Konfiguration ausgeführt hat.
- CI-Logs bei Release-Schritten auf unerwartete Befehle überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6vc5-vf29-ffr2 github.com
- Fix commit 6d60eed (docker release commands without shell) github.com
- Fix commit b587441 (docker release commands without shell) github.com
- Pull request nrwl/nx #36505 github.com
- OSV entry CVE-2026-104859 osv.dev
- GitHub advisory GHSA-6vc5-vf29-ffr2 (advisories mirror) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 02:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.