JetBrains Junie CLI: Codeausführung über nicht vertrauenswürdige MCP-Konfiguration
Zusammenfassung
JetBrains Junie CLI, ein Kommandozeilen-KI-Coding-Agent, ist bis Version 26.8.3 betroffen. Junie CLI kann Code auf Basis der MCP-Server-Konfiguration eines nicht vertrauenswürdigen Projekts ausführen. Ein Angreifer, der einen Benutzer dazu bringt, ein manipuliertes Projekt zu öffnen oder damit zu arbeiten, kann Code mit den Rechten dieses Benutzers ausführen. Der Angriff ist lokal möglich und erfordert eine Interaktion des Benutzers; CVSS 3.1 bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch.
Betroffen
- JetBrains Junie CLI vor 26.8.3 (betroffener Bereich 0 bis < 26.8.3 gemäss CVE-Eintrag)
Behoben in
- Behoben in JetBrains Junie CLI 26.8.3 (gemäss CVE-Eintrag und VulDB).
- Für spätere Junie-CLI-Versionen werden neuere Korrekturen gemeldet; aktuelle Version bei JetBrains prüfen.
Umgehung
- Über das Aktualisieren hinaus ist kein Workaround des Herstellers dokumentiert.
- Bis zur Aktualisierung Junie CLI nicht in nicht vertrauenswürdigen Repositories starten und die projektbezogene MCP-Konfiguration (.junie/mcp/mcp.json) vor der ersten Verwendung prüfen. Dies ist praktische Empfehlung aus der Recherche, nicht aus einer Quelle.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- VulDB gibt an, dass kein Exploit verfügbar ist.
- In der Recherche wurde keine öffentliche Ausnutzung und kein Proof of Concept gefunden; dies ist keine bestätigte Negativaussage.
Unsere Empfehlung
- Systeme mit Junie CLI inventarisieren und die installierte Version prüfen.
- Auf 26.8.3 oder neuer aktualisieren und bei JetBrains die aktuelle Version prüfen.
- MCP-Konfiguration prüfen, bevor mit nicht vertrauenswürdigen Repositories gearbeitet wird.
- Systeme mit Produktionszugangsdaten oder Zugriff auf gemeinsam genutzten Code priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JetBrains: Fixed security issues www.jetbrains.com
- VulDB: CVE-2026-111091 vuldb.com
- OpenCVE: CVE-2026-111091 app.opencve.io
- Vulners: CVE-2026-111091 vulners.com
- JetBrains: Junie CLI MCP configuration junie.jetbrains.com
- JetBrains blog: Junie CLI inside your JB IDE blog.jetbrains.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:55.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.