buildebooks: OS-Command-Injection über den EPUB-Dateinamen von kindlegen

Zusammenfassung

buildebooks, ein Kommandozeilenwerkzeug zum Erstellen von E-Books mit Pandoc und kindlegen, übergibt EPUB-Dateinamen und Projektordnernamen ohne ausreichende Neutralisierung an einen Shell-Befehl. Ein Angreifer kann ein manipuliertes Buchprojekt mit einem schädlichen Dateinamen im Front-Matter oder Ordnernamen und kindle: true erstellen und so Betriebssystembefehle mit den Rechten des Benutzers ausführen, der buildebooks startet. Der Angriff erfordert, dass ein Opfer das manipulierte Projekt lokal verarbeitet; gefährdet sind daher vor allem Build-Systeme, die nicht vertrauenswürdige Manuskripte verarbeiten.

Betroffen

• buildebooks-Versionen vor 0.2.2 (betroffener Bereich 0 bis < 0.2.2)

Behoben in

• Behoben in buildebooks 0.2.2 (Fix-Commit 123776c9ef61e8075ada2f7da2f7046f6a8078d9, PR #12, der auf einen Argument-Array-Aufruf statt eines Shell-Aufrufs umstellt)

Umgehung

• Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.
• Laut PR ist das Fehlen von kindlegen keine Schutzmassnahme.
• Von uns empfohlen (nicht vom Hersteller): Keine Projekte aus nicht vertrauenswürdigen Quellen bauen, für diese die Kindle-Ausgabe (kindle: true) nicht verwenden und Builds in einem isolierten Container oder unter einem Konto mit minimalen Rechten ausführen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Keine Hinweise auf Ausnutzung in freier Wildbahn, kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Exploit-Code in unseren Recherchen gefunden. Dies ist keine bestätigte Abwesenheit.
• EPSS etwa 1,1 Prozent (0,01146).

Unsere Empfehlung

• Hosts mit installiertem buildebooks inventarisieren (zum Beispiel mit npm ls -g buildebooks).
• Wo das Werkzeug genutzt wird, auf buildebooks 0.2.2 oder neuer aktualisieren.
• Wo es nicht benötigt wird, das Paket entfernen.
• Build-Systeme priorisieren, die externe oder nicht vertrauenswürdige Inhalte verarbeiten, etwa Publishing-Workflows oder CI-Pipelines, die Beiträge von Dritten akzeptieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• buildebooks GitHub repository github.com
• lib/kindle.js at commit 7fc3134 github.com
• Fix commit 123776c9 github.com
• Pull request #12 (fix) github.com
• VulnCheck advisory www.vulncheck.com
• Vulners MEND record (EPSS) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:36.