ATXP Gemini CLI Extension: OS-Command-Injection über MCP-Tool-Parameter

Zusammenfassung

Die ATXP Gemini CLI Extension bis Version 1.0.0 enthält eine OS-Command-Injection-Schwachstelle in der Funktion runAtxp(). Nicht bereinigte Parameter von MCP-Tools werden an die Shell übergeben, sodass ein Angreifer Befehle mit den Rechten des Benutzers ausführen kann. Ein Angreifer kann Anweisungen in E-Mail- oder SMS-Inhalten platzieren, die der Agent verarbeitet, und Shell-Ersetzungen wie $() oder Backticks in Parameter wie message_id, subject oder query einschleusen.

Betroffen

• ATXP Gemini CLI Extension (atxp gemini-cli-extension), Versionen 0 bis 1.0.0 gemäss CNA-Eintrag
• Hinweis: Ein Aggregator nennt einen abweichenden Versionsbereich; anhand der CVE-JSON prüfen

Behoben in

Unbekannt. Es wurde weder eine korrigierte Version noch ein Herstellerhinweis identifiziert.

Umgehung

• Keine bekannte Workaround-Massnahme des Herstellers.
• Extension auf Systemen entfernen oder deaktivieren, auf denen sie nicht zwingend benötigt wird.
• Agenten mit dieser Extension keine nicht vertrauenswürdigen E-Mail- oder SMS-Inhalte verarbeiten lassen.
• Berechtigungen und gespeicherte Geheimnisse des Kontos, unter dem der Agent läuft, einschränken.

Ausnutzung

• Gemäss aktuellem Stand nicht als aktiv ausgenutzt bekannt; nicht im CISA KEV (Stand 27. Okt. 2026).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Öffentlicher Proof of Concept: Unbekannt.
• EPSS: etwa 0,65 % (Perzentil 51).

Unsere Empfehlung

• Prüfen, ob die ATXP Gemini CLI Extension auf einem Arbeitsplatz oder Server installiert ist.
• Extension entfernen, wo sie nicht benötigt wird.
• Wo sie genutzt wird, verhindern, dass der Agent nicht vertrauenswürdige E-Mail- oder SMS-Inhalte verarbeitet, und die Zugriffsrechte des Kontos einschränken.
• Das GitHub-Issue und das Repository auf eine Korrektur überwachen und diese sobald verfügbar einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-117560 on Strix www.strix.ai
• VulnCheck Advisory www.vulncheck.com
• ATXP GitHub repository github.com
• Vulnerable code in src/server.ts github.com
• ATXP GitHub issue 15 github.com
• ThreatInt CVE record cve.threatint.com
• OffSeq Radar threat entry radar.offseq.com
• CISA KEV status via third-party tracker github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:01.