Joker: Ausführung von Linter-Code aus dem Repository beim Linting
Zusammenfassung
Joker ist ein Clojure-Interpreter, Linter und Formatter, der in Go geschrieben ist. Vor Version 1.8.2 führte "joker --lint" auf einer Datei Linter-Dateien aus einem projektlokalen .jokerd-Verzeichnis aus, die vom Angreifer kontrollierter Clojure-Code enthalten können. Das Linting einer Datei aus einem nicht vertrauenswürdigen Repository, zum Beispiel über eine Editor-Integration oder einen CI-Job, kann daher Code mit den Rechten des Linter-Benutzers ausführen.
Betroffen
- Joker-Versionen vor 1.8.2 (candid82/joker, Go-Modul github.com/candid82/joker)
Behoben in
- Joker 1.8.2
Umgehung
- "joker --lint" nicht auf nicht vertrauenswürdigen Repositories ausführen, insbesondere nicht über Editor-Integrationen oder unbeaufsichtigte CI.
- Projektlokale .jokerd/linter.*-Dateien vor dem Linting entfernen oder deaktivieren. Ein Checkout des Repositories kann diese Dateien wieder erzeugen, daher handelt es sich nur um eine Notlösung.
Ausnutzung
- Der Hersteller meldet, dass ein Benutzer eine Datei in einem bösartigen Repository linten muss (Benutzerinteraktion erforderlich).
- Ein Drittanbieter-Bericht beschreibt einen Proof of Concept; dieser ist nicht verifiziert.
- Es wurden keine Hinweise auf aktive Ausnutzung gefunden. CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein.
- EPSS: 0.16 % (Perzentil 5).
Unsere Empfehlung
- Entwickler-Arbeitsplätze, CI-Runner und Editor-Setups auf Joker prüfen, zum Beispiel anhand von Go-Modullisten oder Paketinventaren.
- Wo Joker installiert ist, auf Version 1.8.2 oder neuer aktualisieren.
- Bis zum Update keine nicht vertrauenswürdigen Codebasen linten und automatisches Linting von fremdem Quellcode in Editoren und CI deaktivieren.
- Auf unerwartet gestartete Prozesse durch den Linter achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-m835-3cm9-rggg github.com
- Fix commit f207521 github.com
- Joker v1.8.2 tag github.com
- OSV entry GHSA-m835-3cm9-rggg osv.dev
- GitLab advisory CVE-2026-59172 advisories.gitlab.com
- Go vulnerability database pkg.go.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.