CVE-2026-77157

ŚrednieCVSS 6.4

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

ast-cli pobiera dwa binarne pliki pomocnicze (Vorpal ASCA i SCA Resolver) z download.checkmarx.com w ramach automatycznej aktualizacji, wywoływanej przez rozszerzenia VSCode/JetBrains oraz cx scan sca-realtime. Przed poprawką pobrane archiwum nie było weryfikowane sumą kontrolną przed rozpakowaniem i wykonaniem. Atakujący mogący podmienić serwowane archiwum mógł dostarczyć dowolny binarny plik, który ast-cli rozpakowywał i wykonywał.

Ocena ryzyka

Wymaga kompromitacji download.checkmarx.com, ale w razie sukcesu każda maszyna dewelopera lub pipeline CI wywołujący ASCA lub sca-realtime wykonałby złośliwy binarny plik.

Rekomendacja

Zaktualizuj ast-cli do wersji z poprawką, która weryfikuje pobierane archiwum względem opublikowanej sumy SHA-256 przed rozpakowaniem.

Inne podatności w ast-cli

CVE-2026-77156Średnie
Niekompletna walidacja ścieżek wpisów rozpakowywanego archiwum w logice ekstrakcji tar w ast-cli na Linux i macOS (używanej przy instalacji Vorpal ASCA i SCA Resolver) pozwala złośliwemu archiwum tar z wpisami o ścieżkach absolutnych lub traversal zapisywać pliki poza katalogiem instalacji. Kompilacje Windows nie były dotknięte, ponieważ ekstraktor Windows wykonuje tę walidację ścieżek.

Oryginalny opis (angielski, źródło NVD)

ast-cli downloads two helper binaries, the Vorpal ASCA real-time engine and the SCA Resolver, from "download.checkmarx.com" as part of its auto-update flow, triggered by the Checkmarx’s "VSCode/JetBrains" extensions and by cx scan "sca-realtime". Prior to the fix, the downloaded archive was not verified against a checksum before extraction and execution. An attacker able to substitute the served archive could deliver an arbitrary binary that ast-cli would extract and execute the contents of the archive, since no integrity check was performed on the download. Successful exploitation requires compromising "download.checkmarx.com" and replacing the served archive with one containing an attacker-controlled binary. If the served archive had been replaced that way, any developer machine or CI pipeline invoking ASCA (via Checkmarx's VSCode/JetBrains extensions) or cx scan "sca-realtime" on an affected version would have extracted and executed that binary in place of the intended download. The download is now verified against a published SHA-256 checksum before extraction.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS