@mborne/extract: OS-Command-Injection über archivePath und targetDir

Zusammenfassung

Die Node.js-Bibliothek @mborne/extract vor Version 0.2.1 übergibt die Optionen archivePath und targetDir ungeschützt an Shell-Befehlszeichenketten in den Extraktoren unzip, 7z, tar-bz2 und gz. Ein Angreifer, der diese Werte kontrolliert, kann Shell-Metazeichen einschleusen und beliebige Befehle mit den Rechten des Node.js-Prozesses ausführen. Das Risiko besteht nur dort, wo eine Anwendung durch Angreifer beeinflussbare Pfade an extract() übergibt, etwa Dateinamen aus Uploads oder Pfade aus vom Benutzer editierbaren Konfigurationen.

Betroffen

• @mborne/extract Versionen vor 0.2.1 (CNA-Eintrag: betroffen 0 bis < 0.2.1)
• Extraktoren: unzip, 7z, tar-bz2 und gz
• Anwendungen, die unvertrauenswürdige Werte an archivePath oder targetDir übergeben

Behoben in

• Behoben in 0.2.1 gemäss CVE-Eintrag und Herstellerkommit 585e5b2
• Das Entwurfs-Advisory GHSA-r234-8hvm-px9x nennt 0.3.0 als gepatchte Version
• Installieren Sie zur Sicherheit 0.3.0 (neueste Version); prüfen Sie dies anhand des finalen Advisory

Umgehung

• Keine Workaround-Massnahme des Herstellers; das Aktualisieren ist die Behebung
• Keine unvertrauenswürdigen Eingaben in archivePath oder targetDir übergeben
• Von der Anwendung erstellte Pfade validieren oder über eine Allowlist begrenzen
• Extraktion mit minimalen Berechtigungen ausführen

Ausnutzung

• CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total
• Zum Zeitpunkt der Erstellung wurden keine Berichte über aktive Ausnutzung gefunden
• Eine Reproduktion ist im öffentlichen Fix-Pull-Request #8 enthalten

Unsere Empfehlung

• Mit npm ls @mborne/extract direkte und transitive Verwendung prüfen
• Auf 0.3.0 (mindestens 0.2.1) aktualisieren und betroffene Anwendungen neu erstellen
• Sicherstellen, dass Archivpfade nie aus unvertrauenswürdigen Eingaben gebildet werden
• Extraktion in einer Sandbox oder mit geringen Berechtigungen ausführen
• Auf unerwartete Kindprozesse der Node.js-Anwendung achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Fix commit 585e5b2 github.com
• Pull request #8 github.com
• Release v0.2.1 github.com
• npm package @mborne/extract www.npmjs.com
• Maintainer issue #9 github.com
• Maintainer issue #11 github.com
• OSV entry CVE-2026-110639 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:03.