Injection de commande OS dans deno (CVE-2026-49402)
Résumé
Injection de commande OS dans deno (CVE-2026-49402). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via spawn. Atténuation : mise à jour vers 2.7.10 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Deno's node:child_process implementation provided an escapeShellArg() helper used when callers passed shell: true to spawn / spawnSync / exec and friends. On Windows, the helper failed to quote arguments that contained cmd.exe metacharacters such as &, |, <, >, ^, !, (, ), and did not neutralize % (which cmd.exe expands even inside double-quoted strings). An attacker who controlled any portion of an argument passed to such a call could inject arbitrary additional commands into the spawned cmd.exe invocation.
This was the Windows counterpart to CVE-2026-27190, which fixed the same class of bug in the Unix branch of escapeShellArg.
Details
On Windows, child_process with shell: true ran the command via cmd.exe /d /s /c "". Deno assembled that command line by joining the program name and each argument through escapeShellArg().
The vulnerable check was:
// If no special characters, return as-is
if (!/[\s"\\]/.test(arg)) {
return arg;
}
The regex covered only whitespace, double-quote, and backslash. Any argument containing cmd.exe-significant characters but none of those three was returned unquoted and therefore interpreted by the shell. The most straightforward exploit chained commands with &:
import { spawnSync } from "node:child_process";
spawnSync("echo", ["test&calc.exe"], { shell: true, encoding: "utf-8" });
The reporter confirmed this launched calc.exe on Windows 11 with Deno 2.…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-49402 a été découverte dans deno.
Des attaquants peuvent cibler un point d'entrée spécifique comme spawn à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.1/10.
Action : mettez à jour deno vers 2.7.10 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « deno CVE-2026-49402 » sur le site de l'éditeur.
CVE-2026-49402 (deno) — CWE-78 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : spawn / spawnSync / exec / cmd.exe
Correctif : 2.7.10 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une injection de commande OS (CWE-78) affecte deno. Les attaquants atteignent le code vulnérable via spawn sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de deno. Surface d'attaque : spawn / spawnSync / exec / cmd.exe.
Gravité : Élevée (CVSS 8.1/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 2.7.10.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'deno' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
denoを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade deno to 2.7.10ステージング環境で 2.7.10 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com