Code-Injection-Schwachstellen (CVSSv3 5.8) in Snyk CLI und IDE-Plugins entdeckt
Carm Janneteau
30. November 2022
0 Min. LesezeitAls Snyk-Nutzer möchten wir Sie über zwei neue Schwachstellen mittleren Schweregrads (CVSSv3 5.8) in unseren CLI- und IDE-Plugins informieren.
Diese Schwachstellen sind zwar schwer auszunutzen, können aber zur Ausführung beliebigen Codes auf dem Hostsystem führen. Im Folgenden erfahren Sie, wie Sie diese Risiken mindern und sich schützen können.
CVE-2022-24441 – Code-Injection in Snyk CLI und Snyk IDE-Plugins
Die Snyk CLI kann die Ausführung beliebigen Codes ermöglichen, wenn sie zur Analyse nicht vertrauenswürdiger Projekte verwendet wird. Das liegt daran, dass die Snyk CLI verschiedene Build-Tools nutzt, um Informationen zum Projekt für die Analyse bereitzustellen. Diese Tools können Code ausführen.
Bei Verwendung der Snyk IDE-Plugins besteht ein erhöhtes Risiko, da diese Plugins die Snyk CLI automatisch zur Analyse starten, sobald ein Projekt geöffnet wird. So kann bereits das Öffnen eines nicht vertrauenswürdigen Ordners die Ausführung beliebigen Codes ermöglichen.
Um vor den Risiken beim Ausführen nicht vertrauenswürdiger Projekte zu schützen, hat Snyk die Snyk IDE-Plugins so angepasst, dass Entwicklerinnen und Entwickler zunächst dem Projekt vertrauen müssen, bevor sie Scans des Codes ausführen können.
Außerdem haben wir unsere Dokumentation für die Snyk CLI um Best Practices ergänzt, mit denen Sie das Scannen nicht vertrauenswürdigen Codes vermeiden können. Wir empfehlen Nutzerinnen und Nutzern der IDE-Plugins, auf eine Version mit der Projektvertrauensfunktion zu aktualisieren. Weitere Informationen finden Sie im Snyk Support.
CVE-2022-22984 – Command-Injection in der Snyk CLI
Bei Snyk CLI-Versionen vor v1.1064.0 besteht eine Schwachstelle, die die Einschleusung beliebiger Befehle über die Befehlszeilen-Flags ermöglicht, mit denen Argumente zum Starten nachfolgender untergeordneter Prozesse erstellt werden.
Aufgrund der Komplexität des Angriffs und der Voraussetzung, bereits Teile des CLI-Befehls kontrollieren zu können, ist das Risiko nicht hoch. Snyk-Kunden sollten jedoch so bald wie möglich aktualisieren, damit die programmatische Verwendung der Snyk CLI vor Missbrauch geschützt ist.
So aktualisieren Sie und bleiben geschützt
Weitere Informationen, einschließlich Anleitungen zur Aktualisierung Ihrer CLI und IDE-Plugins, finden Sie im Snyk Support.
Wir werden diesen Beitrag mit weiteren Informationen und Antworten auf häufig gestellte Fragen aktualisieren.
Weitere Informationen
Weitere Details zu den einzelnen Schwachstellen finden Sie in unserer öffentlichen Schwachstellendatenbank:
Diese Schwachstellen wurden uns von Schwachstellenforschern bei Imperva vertraulich über unseren Prozess für verantwortungsvolle Offenlegung gemeldet.
Wir danken Imperva dafür, diese Schwachstelle entdeckt und gemeldet zu haben. Snyk ist sehr stolz darauf, zu den führenden Verfechtern verantwortungsvoller Offenlegungsprogramme und von Open-Source-Technologie zu gehören. Ein zentraler Grundsatz einer robusten und modernen Sicherheitsstrategie ist es, externe Tests von Software zu fördern, die interne Tests und Tools ergänzen. Bei Snyk wissen wir, dass jede Software Schwachstellen enthalten kann. Wir werden weiterhin alle erforderlichen Maßnahmen ergreifen, um unsere Software gründlich zu testen und die Sicherheit unserer Nutzerinnen und Nutzer an erste Stelle zu setzen.
Zur Klarstellung: Es handelt sich um Schwachstellen mittleren, nicht hohen oder kritischen Schweregrads. Die potenziellen Auswirkungen werden in den meisten Fällen dadurch begrenzt, dass die Schwachstellen schwer auszunutzen sind. Unabhängig vom Schweregrad ist eine gute Sicherheitshygiene jedoch wichtig. Wir empfehlen, Ihre Tools regelmäßig zu aktualisieren, damit Sie geschützt bleiben.
Wir entschuldigen uns für die Unannehmlichkeiten, die durch die notwendige Aktualisierung der Snyk CLI und der IDE-Plugins entstehen. Bei Fragen wenden Sie sich bitte über Snyk Support an uns.
Starten Sie mit Capture the Flag
Erfahren Sie in unserem virtuellen On-Demand-Workshop für Einsteiger, wie Sie Capture-the-Flag-Herausforderungen lösen.
