JoySafeter: Authentifizierte Remote Code Execution über den Copilot-Standardmodus
Zusammenfassung
JoySafeter bis Version 1.0.0 erlaubt authentifizierten Benutzern, Betriebssystembefehle auf dem Host auszuführen. Die Schwachstelle liegt im Copilot-Standardmodus, in dem ein Execute-Tool Befehle ohne Sandbox über eine Shell ausführt. Angreifer können sich selbst registrieren, im WebSocket-Erweiterungsaufruf chat.start den Standardmodus auswählen und so auf Daten anderer Mandanten sowie auf Server-Geheimnisse zugreifen.
Betroffen
- jd-opensource JoySafeter, Versionen 0 bis 1.0.0
- Die Standardkonfiguration ist nicht betroffen; der verwundbare Pfad erfordert, dass der Standardmodus ausgewählt wird
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version und kein Patch des Herstellers identifiziert.
Umgehung
- Copilot-Standardmodus für alle Benutzer deaktivieren oder auf vertrauenswürdige Konten beschränken.
- Selbstregistrierung deaktivieren oder einschränken.
- Dienst mit minimalen Berechtigungen betreiben und seinen Zugriff auf Geheimnisse, Daten anderer Mandanten und das Netzwerk begrenzen.
Ausnutzung
- Bekannte Ausnutzung: keine gemeldet.
- Öffentlicher PoC: nicht identifiziert. Lasso hat das Problem lokal mit harmlosen Testmarkierungen reproduziert.
- CISA SSVC: Ausnutzungsstatus PoC, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob JoySafeter eingesetzt wird und welche Version läuft.
- Selbstregistrierung deaktivieren und den Copilot-Standardmodus jetzt deaktivieren oder einschränken.
- Bestehende Konten, Logs und Shell-Aktivitäten auf verdächtige Nutzung prüfen.
- Server-Geheimnisse und API-Schlüssel rotieren, falls eine Offenlegung möglich ist.
- Beim Hersteller einen Zeitplan für die Korrektur anfragen und das Repository auf Patch und öffentlichen PoC überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: JoySafeter Authenticated RCE via Copilot Standard Mode Shell www.vulncheck.com
- Lasso Security vulnerability database: CVE-2026-109443 www.lasso.security
- GitHub: command_executor.py (commit 12234a1) github.com
- GitHub: copilot_service.py (commit 12234a1) github.com
- VulDB: CVE-2026-109443 vuldb.com
- OpenCVE: CVE-2026-109443 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:40.
Referenzen der NVD (4)
- https://github.com/jd-opensource/JoySafeter/blob/12234a11a9d96acef85577afb1fa5682169d6171/backend/app/core/ag…
- https://github.com/jd-opensource/JoySafeter/blob/12234a11a9d96acef85577afb1fa5682169d6171/backend/app/service…
- https://www.lasso.security/vulnerability-database/cve-2026-109443
- https://www.vulncheck.com/advisories/joysafeter-through-1.0.0-authenticated-rce-via-copilot-standard-mode-she…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.