Google Fixes CVSS 10 Gemini CLI CI RCE and Cursor Flaws Enable Code Execution
Google hat eine Sicherheitslücke mit maximaler Schwere in der "@google/gemini-cli" npm-Paket und dem "google-github-actions/run-gemini-cli" GitHub-Actions-Werkfluss behoben, die es Angreifern ermöglicht hätte, beliebige Befehle auf Hostsystemen auszuführen. Die Lücke erlaubte es unberechtigten externen Angreifern, eigene schädliche Inhalte als Gemini-Konfiguration zu laden. Benutzer sollten unverzüglich die neueste Version des Pakets installieren, um diese Risiken zu minimieren.
Google hat eine Sicherheitslücke mit maximaler Schwere im npm-Paket @google/gemini-cli und im GitHub-Actions-Workflow google-github-actions/run-gemini-cli behoben. Die Schwachstelle hätte Angreifern erlaubt, beliebige Befehle auf Hostsystemen auszuführen. Unberechtigte externe Angreifer konnten eigene schädliche Inhalte als Gemini-Konfiguration laden.
Nutzer des npm-Pakets @google/gemini-cli und des GitHub-Actions-Workflows google-github-actions/run-gemini-cli.
RCE in CI- oder Hostumgebungen kann Build-Systeme, Quellcode und Secrets gefährden.
Ein externer Angreifer lädt schädliche Gemini-Konfiguration und führt beliebige Befehle auf einem Host- oder CI-System aus.
Unverzüglich die neueste Version des Pakets installieren und betroffene GitHub-Actions-Workflows aktualisieren.
- ▸Repositories und CI-Workflows auf Nutzung von @google/gemini-cli und google-github-actions/run-gemini-cli prüfen.
- ▸Validieren, dass aktualisierte Versionen eingesetzt werden.
- ▸CI-Logs auf unerwartete Gemini-Konfigurationen, fremde Inhalte und ungewöhnliche Befehlsausführung prüfen.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Execution | T1059 Command and Scripting Interpreter | High | Der Artikel sagt, dass Angreifer beliebige Befehle auf Hostsystemen ausführen konnten. |
| Initial Access | T1195 Supply Chain Compromise | Low | Das Risiko betrifft ein npm-Paket und einen GitHub-Actions-Workflow; ein tatsächlicher Supply-Chain-Kompromiss ist nicht beschrieben. |
- Eine CVE-ID ist nicht im Artikel angegeben.
- Ob die Schwachstelle aktiv ausgenutzt wurde, ist nicht im Artikel angegeben.
- Konkrete IOCs sind nicht im Artikel angegeben.