Dream Displays: Command-line-Argument-Injection im yt-dlp-Aufruf
Zusammenfassung
Dream Displays, eine Minecraft-Mod für Videobildschirme im Spiel, übergibt in betroffenen Versionen benutzergesteuerte Eingaben an das Tool yt-dlp. Ein Angreifer, der diese Eingaben beeinflussen kann, kann unbeabsichtigte Kommandozeilenoptionen einschleusen, die das Verhalten von yt-dlp verändern. Die Auslösebedingungen sind in den verfügbaren Quellen nicht dokumentiert, und die schwerwiegenderen Auswirkungen, die Drittdatenbanken angeben, konnten nicht verifiziert werden.
Betroffen
- Dream Displays Versionen 1.5.0 bis und mit 1.8.1 (bis 1.8.2 exklusiv)
Behoben in
- Version 1.8.2 (bestätigte Korrektur)
- Spätere Versionen wie 1.10.x sind in den Quellen nicht als Korrektur bestätigt; die neueste Version des Herstellers verwenden
Umgehung
- Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.
- Die Entfernung der Mod von unsicheren oder nicht verwalteten Systemen ist der zuverlässigere Zwischenschritt.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn. CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Minecraft-Clients und -Server mit Dream Displays inventarisieren, einschliesslich der Jar-Version.
- Auf die neueste Version aktualisieren, mindestens auf 1.8.2.
- Die Mod auf Arbeitsstationen und nicht verwalteten Servern entfernen, wenn sie nicht geschäftskritisch ist.
- Das GHSA-Advisory auf die offiziellen Auswirkungen und Auslösebedingungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-5j65-hvgq-c585 github.com
- Fix commit ee8702bd github.com
- Release v1.8.2 github.com
- YtDlp.kt at v1.10.0-preview.1 github.com
- YtDlpClientRace.kt at v1.10.0-preview.1 github.com
- GitHub releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:16.
Referenzen der NVD (5)
- https://github.com/arnodoelinger/dreamdisplays/blob/v1.10.0-preview.1/media/source/src/main/kotlin/com/dreamd…
- https://github.com/arnodoelinger/dreamdisplays/blob/v1.10.0-preview.1/media/source/src/main/kotlin/com/dreamd…
- https://github.com/arnodoelinger/dreamdisplays/commit/ee8702bdbebcb2eb562c8acfb55c6bc383943b94
- https://github.com/arnodoelinger/dreamdisplays/releases/tag/v1.8.2
- https://github.com/arnodoelinger/dreamdisplays/security/advisories/GHSA-5j65-hvgq-c585
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.