Runnerty executor-decompress: OS-Command-Injection über Archivdateinamen

Zusammenfassung

Das Runnerty-Entpackungs-Plugin (@runnerty/executor-decompress) übergibt Archivdateinamen ungeprüft an Shell-Befehle. Ein Angreifer, der eine Datei mit manipuliertem Namen in ein überwachtes Verzeichnis legen kann, kann Shell-Befehle einschleusen. Diese Befehle laufen mit den Rechten des Runnerty-Prozesses. Voraussetzung ist, dass Runnerty Dateien aus einer Quelle verarbeitet, die Dritte beeinflussen können.

Betroffen

• @runnerty/executor-decompress, Versionen 0 bis 3.1.1
• Betroffene Versionen gemäss CNA-Eintrag (VulnCheck) und den Schwachstellenquellen; keine nicht betroffene Version bekannt.

Behoben in

Unbekannt. Es wurde keine korrigierte Version und kein Herstellerhinweis gefunden. Ein Patch-Pull-Request (PR #7) wird referenziert, dessen Zusammenführung ist jedoch nicht verifiziert.

Umgehung

• Alle Installationen von @runnerty/executor-decompress (Lockfiles, Deployments) suchen und Versionen bis 3.1.1 als betroffen behandeln.
• Das Plugin entfernen, falls es nicht genutzt wird.
• Keine unvertrauenswürdigen Dateien in überwachte oder Ablageverzeichnisse legen, zum Beispiel Uploads, SFTP-Ablageordner oder E-Mail-Anhänge.
• Runnerty mit einem dedizierten Konto mit minimalen Rechten betreiben; Schreibzugriff nur auf die benötigten Verzeichnisse.
• Dateinamen mit Shell-Metazeichen ablehnen oder bereinigen, bevor sie das Plugin erreichen. Dies ist eine allgemeine Schutzmassnahme und kein getesteter Fix.
• Auf unerwartete Kindprozesse des Runnerty-Dienstes überwachen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; in den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob Runnerty und dieses Plugin eingesetzt werden, und beim Integrator oder IT-Dienstleister nachfragen.
• Sobald der Hersteller eine Korrektur veröffentlicht, diese einspielen; bis dahin die oben genannten Massnahmen umsetzen.
• Die Eingaben des Plugins auf vertrauenswürdige Quellen beschränken und die Rechte des Runnerty-Prozesses reduzieren.
• Auf unerwartete Kindprozesse des Runnerty-Dienstes achten und die Logs prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• GitHub: index.js (line 106), commit 1a625bb github.com
• GitHub: index.js (line 26), commit 1a625bb github.com
• GitHub: pull request #7 github.com
• npm: @runnerty/executor-decompress www.npmjs.com
• Strix CVE record CVE-2026-110641 www.strix.ai
• Positive Technologies PT-2026-114083 (Vulners) vulners.com
• CVE-2026-110641 (ThreatInt) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:03.