Renovate: Allowlist-Umgehung erlaubt Überschreiben eingeschränkter Umgebungsvariablen
Zusammenfassung
Renovate, ein Werkzeug für automatisierte Abhängigkeitsaktualisierungen, erlaubt einem Repository, die allowedEnv-Allowlist zu umgehen, indem es env-Einstellungen in einem gemeinsam genutzten Preset platziert. Ein Angreifer, der ein extern bezogenes Preset kontrolliert, kann auf selbst gehosteten Instanzen Variablen wie PATH, LD_PRELOAD, NODE_OPTIONS oder GIT_SSL_CAINFO in Kindprozessen überschreiben. Der CNA stuft die Schwachstelle als kritisch ein (CVSS 9.0, v4.0), während das Herstelleradvisory 9.9 (CVSS v3.1) angibt.
Betroffen
- renovatebot/renovate (npm und Docker): Versionen vor 44.60.1
- Mend renovate-ce, renovate-ee-server und renovate-ee-worker: Versionen vor 15.5.0
- Mend mend-renovate-ce Helm-Chart: Versionen vor 15.5.0
- Mend mend-renovate-enterprise-edition Helm-Chart: Versionen vor 10.5.0
Behoben in
- renovatebot/renovate: 44.60.1
- Mend renovate-ce, renovate-ee-server, renovate-ee-worker und mend-renovate-ce Helm-Chart: 15.5.0
- Mend mend-renovate-enterprise-edition Helm-Chart: 10.5.0
Umgehung
- Im Herstelleradvisory wird kein Workaround genannt.
- Übergangsmassnahme, keine Herstellerempfehlung: Nur Presets aus Quellen verwenden, die Sie kontrollieren, und extern bezogene extends-Einträge prüfen.
- Einschränken, wer die Repository-Konfiguration ändern darf.
Ausnutzung
- In den geprüften Quellen ist keine Ausnutzung bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Laut einem Aggregator nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden; fehlende Treffer in der Suche sind kein Beweis, dass keiner existiert.
Unsere Empfehlung
- Selbst gehostetes Renovate auf 44.60.1 oder neuer aktualisieren sowie Mend-Editionen und Helm-Charts auf die oben genannten Versionen. Dasselbe Release behebt auch CVE-2026-110865.
- Bis zur Behebung nur Presets aus vertrauenswürdigen Quellen verwenden.
- Prüfen, ob Ihre Instanzen externe Presets laden und ob Runner CI-Secrets oder Token besitzen.
- Dieses Update für selbst gehostete Instanzen mit Presets von Drittanbietern priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6873-xr44-22vm github.com
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2026-110867 osv.dev
- CyStack vulnerability database entry cystack.net
- Strix CVE entry www.strix.ai
- VulDB CVE entry vuldb.com
- Vulners PT-2026-114181 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.