Renovate: Server-side Request Forgery über HTTP-Presets und customDatasources

Zusammenfassung

Renovate vor 44.79.0 erlaubt Benutzern mit der Berechtigung, die Konfiguration zu ändern, dass der gemeinsame HTTP-Client beliebige interne URLs abruft, über extends-Presets oder customDatasources. Ein Angreifer kann ein Preset auf einen Metadatendienst einer Cloud-Instanz richten, um AWS-Zugangsdaten zu erhalten, oder sensible Daten über die Renovate-Logs preisgeben. Der Angriff erfordert niedrige Berechtigungen, etwa einen Repository-Mitwirkenden, der die Renovate-Konfiguration beeinflussen kann, und keine Benutzerinteraktion.

Betroffen

• Renovate (npm, Docker-Images renovate/renovate, renovatebot/renovate): Versionen vor 44.79.0
• Mend renovate-ce, renovate-ee-server, renovate-ee-worker: Versionen vor 15.6.0 (gemäss CVE-Eintrag; nicht gegen Mends Advisory verifiziert)
• Mend Helm Charts: mend-renovate-ce vor 15.6.0; mend-renovate-enterprise-edition vor 10.6.0 (gemäss CVE-Eintrag; nicht gegen Mends Advisory verifiziert)

Behoben in

• Renovate 44.79.0 oder neuer
• Mend-Produkte: 15.6.0 oder neuer (renovate-ce, renovate-ee-server, renovate-ee-worker); exakte Versionen in Mends Release Notes prüfen
• Mend Helm Charts: siehe Mends Release Notes

Umgehung

• Vom Hersteller ist kein Workaround dokumentiert; das Advisory des Herstellers nennt keinen.
• Empfehlung eines Drittanbieters (VulDB): Konfigurationsdateien prüfen und sicherstellen, dass Presets und Datenquellen nur aus vollständig vertrauenswürdigen und verifizierten Quellen stammen.
• Änderungen an der Renovate-Konfiguration und an Presets auf berechtigte Personen beschränken und, wo möglich, den Zugriff vom Renovate-Runner auf den Metadatenendpunkt der Cloud blockieren.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt; nicht im CISA-KEV-Katalog aufgeführt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
• In unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies ist kein bestätigtes Fehlen.

Unsere Empfehlung

• Renovate auf 44.79.0 oder neuer aktualisieren und Mend-Produkte gemäss Mends Advisory auf die fixen Versionen bringen.
• Prüfen, wer Renovate-Konfigurationen, Presets und benutzerdefinierte Datenquellen ändern kann, und Schreibrechte auf Repositories einschränken.
• Zugriff auf den Metadatendienst von Renovate-Runnern einschränken (z. B. IMDSv2 mit Hop Limit) und Zugangsdaten rotieren, falls eine Exposition vermutet wird.
• Renovate-Logs auf unerwartete Anfragen an interne URLs prüfen.
• Die Priorität ist am höchsten für selbst betriebenes Renovate in Cloud-Umgebungen mit breiten Schreibrechten auf Repositories.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8rqp-w6vc-pf27 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-110868 osv.dev
• VulDB CVE-2026-110868 vuldb.com
• OpenCVE CVE-2026-110868 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:25.