Taskcluster web-server: Unauthentifizierte Remote Code Execution über GraphQL-Filter

Zusammenfassung

Taskcluster-Versionen vor 100.3.0 enthalten eine Schwachstelle im GraphQL-Endpunkt des web-server. Die Filterargumente werden mit der Bibliothek sift verarbeitet, wodurch Code ausgeführt werden kann. Deployments mit einer anonymen Rolle können ohne Authentifizierung angegriffen werden. Der CVSS-4.0-Wert ist 8.7 (High), da die Schwachstelle über das Netzwerk mit geringer Komplexität und ohne Berechtigungen ausnutzbar ist.

Betroffen

• Taskcluster-Versionen vor 100.3.0
• Nur relevant, wenn das Deployment eine anonyme Rolle und einen erreichbaren GraphQL-Endpunkt hat

Behoben in

• Taskcluster 100.3.0 (Fix-Commits a1b0154 und fe314d9). Es existieren neuere Releases; das neueste Release verwenden.

Umgehung

• Unbekannt. Das Herstelleradvisory beschreibt keinen Workaround; das Update ist die Massnahme.
• Bis zum Patch: anonyme Rolle entfernen oder deaktivieren und den Netzwerkzugriff auf den GraphQL-Endpunkt einschränken.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn (KEV-Status: nicht gelistet, gemäss Aggregatoren).
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: automatisierbar ja, technische Auswirkung teilweise.

Unsere Empfehlung

• Prüfen, ob ein selbst betriebenes Taskcluster-Deployment existiert.
• Falls ja, auf das neueste Release aktualisieren, nicht nur auf 100.3.0.
• Sicherstellen, dass keine anonyme Rolle aktiviert ist, und den GraphQL-Endpunkt auf vertrauenswürdige Netzwerke beschränken.
• Logs auf unerwartete GraphQL-Anfragen prüfen.
• Die meisten KMU betreiben diese Software nicht; ohne vorhandenes Deployment ist keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-ccv5-c45x-2q38 github.com
• Taskcluster release v100.3.0 github.com
• Fix commit a1b0154 github.com
• Taskcluster issue 8716 github.com
• Taskcluster pull request 8718 github.com
• OSV entry CVE-2026-55094 osv.dev
• OpenCVE CVE-2026-55094 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:34.