Gist RubyGem: Deaktivierte TLS-Zertifikatsprüfung

Zusammenfassung

Das gist RubyGem, ein Kommandozeilen-Client zum Hochladen von Inhalten auf GitHub Gist, deaktiviert die Prüfung von TLS-Zertifikaten in seiner HTTPS-Verbindung. Ein Angreifer, der sich im Netzwerkpfad zwischen Client und GitHub befindet, kann ein beliebiges Zertifikat präsentieren, den Datenverkehr abfangen und OAuth-Token oder Login-Daten stehlen. Damit kann er die Gists des Opfers lesen und verändern. Der Angriff setzt eine Position im Netzwerkpfad voraus und betrifft nicht die GitHub-Plattform selbst.

Betroffen

• gist RubyGem ab 4.0.0 bis vor 6.1.0
• Standardkonfiguration: laut CNA-Eintrag nicht betroffen
• Verwundbarer Code: http_connection in lib/gist.rb setzt VERIFY_NONE

Behoben in

• Auf gist 6.1.0 oder neuer aktualisieren
• Die Korrektur ersetzt die Einstellung ohne Prüfung durch die Peer-Verifizierung (VERIFY_PEER)

Umgehung

• Unbekannt. Es wurde keine vom Hersteller freigegebene Workaround-Massnahme für die verwundbaren Versionen gefunden.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung none, nicht automatisierbar, partielle technische Auswirkung
• Laut den gefundenen Quellen nicht im CISA-KEV-Katalog aufgeführt
• EPSS-Wert etwa 0.2% (2026-10-06)
• Öffentliches Proof-of-Concept-Material ist möglich; die Quellen widersprechen sich
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden

Unsere Empfehlung

• Systeme mit dem gist-Gem inventarisieren, einschliesslich Gemfile.lock-Einträgen, Paketmanager-Installationen und CI-Jobs
• Auf gist 6.1.0 oder neuer aktualisieren, im nächsten regulären Wartungsfenster
• Bis zur Aktualisierung den gist-Client nicht in unsicheren Netzwerken wie öffentlichem WLAN verwenden
• Bei Verdacht auf einen Vorfall im Netzwerkpfad die GitHub-Token der betroffenen Installationen erneuern

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  abraxas/cve-2026-105221-gist-tls

Quellen der Recherche

• CVE-2026-105221 OSV record osv.dev
• VulnCheck advisory: Gist RubyGem before 6.1.0 www.vulncheck.com
• Upstream fix commit github.com
• Upstream issue #373 github.com
• Vulnerable code at v6.0.0 github.com
• gist project repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:33.