saku0512/cve-2026-48732-pocProof-of-Concept-Exploit für CVE-2026-48732, der eine OS-Befehlseinschleusung in Warps veralteter SSH-Hintergrundbefehlsverarbeitung über unsanitisierte einfache Anführungszeichen in Pfaden zu entfernten Arbeitsverzeichnissen demonstriert.
Dieses Repository ist ein Proof of Concept (PoC) für die schwerwiegende OS-Befehlsinjektions-Schwachstelle CVE-2026-48732 in der herkömmlichen SSH-Hintergrundbefehlverarbeitung von Warp.
In betroffenen Warp-Versionen wurden Hilfsbefehle unter Verwendung des vom SSH-Sitzung gemeldeten entfernten Arbeitsverzeichnisses (cwd) erstellt. Da einfache Anführungszeichen in diesem Pfad nicht maskiert wurden, konnte ein vom Angreifer kontrollierter entfernter Host, ein Repository oder ein Verzeichnisname aus dem in Anführungszeichen gesetzten cd-Argument ausbrechen und dem Opfer ermöglichen, zusätzliche Shell-Syntax auf dem entfernten Host mit den Berechtigungen des authentifizierten SSH-Kontos auszuführen.
Entdecker: saku0512 (GitHub)
Dieses Projekt wird nur zu Bildungszwecken und für ethische Sicherheitstests bereitgestellt. Der Autor übernimmt keinerlei Haftung für Missbrauch, Schäden oder illegale Handlungen im Zusammenhang mit diesem Werkzeug. Unbefugter Zugriff auf Computersysteme ist illegal. Durch die Nutzung dieser Software stimmen Sie zu, sie nur in Umgebungen zu verwenden, für die Sie ausdrücklich die Erlaubnis zu Sicherheitstests haben.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)>= v0.2023.03.21.08.02.stable_00v0.2026.05.06.15.42.stable_01In der anfälligen herkömmlichen SSH-Hintergrundbefehlverarbeitung wurden einfache Anführungszeichen im Pfad nicht maskiert, wenn das entfernte Arbeitsverzeichnis in einfache Anführungszeichen gesetzt wurde.
command_str.push_str(&format!("cd '{current_directory_path}' && "));
Wenn current_directory_path beispielsweise einen Wert wie den folgenden enthält:
/tmp/warp-cve-2026-48732'; touch /tmp/warp_cve_2026_48732_confirmed; echo '
Der resultierende Shell-Befehl sieht wie folgt aus:
cd '/tmp/warp-cve-2026-48732'; touch /tmp/warp_cve_2026_48732_confirmed; echo '' && pwd
Dadurch wird der eingefügte touch-Befehl von der Shell als separater Befehl interpretiert.
Der Fix maskiert eingebettete einfache Anführungszeichen, bevor der Pfad in einen Shell-Kontext mit einfachen Anführungszeichen gesetzt wird.
Stellen Sie sicher, dass Python 3 installiert ist. Dieser PoC simuliert lokal die anfällige Befehlskonstruktion und verbindet sich nicht mit Warp oder SSH.
python3 --version
Führen Sie das beiliegende Skript aus.
python3 poc.py
Die erwartete Ausgabe enthält den generierten anfälligen Befehl sowie eine Erfolgsmeldung, die angibt, dass die Markierungsdatei erstellt wurde.
[!] SUCCESS: /tmp/warp_cve_2026_48732_confirmed was created.
Überprüfen Sie die Markierungsdatei, um zu bestätigen, dass der Befehl erfolgreich ausgeführt wurde.
ls -l /tmp/warp_cve_2026_48732_confirmed
Wenn die Datei existiert, wurde das Verhalten der Befehlsinjektion in der lokalen Simulation bestätigt.
Löschen Sie nach der Überprüfung die Markierungsdatei.
rm -f /tmp/warp_cve_2026_48732_confirmed
Führen Sie den korrigierten Befehlsersteller aus.
python3 poc.py --mode fixed
In der behobenen Simulation werden eingebettete einfache Anführungszeichen maskiert, daher sollte keine Markierungsdatei erstellt werden.
Aktualisieren Sie Warp umgehend auf die behobene Version.
Dieser Fix maskiert eingebettete einfache Anführungszeichen im entfernten Pfad, bevor der herkömmliche SSH-Hilfsbefehl erstellt wird. Dadurch wird verhindert, dass vom Angreifer kontrollierter Pfadtext aus dem in Anführungszeichen gesetzten Shell-Argument ausbricht.