CPython venv: Befehlsinjektion über ungenügend maskierte Pfadnamen

Beschreibung

Im venv-Modul und -CLI von CPython werden Pfadnamen beim Anlegen einer virtuellen Umgebung nicht korrekt maskiert. Der Ersteller einer Umgebung kann dadurch Befehle in die Aktivierungsskripte injizieren, die beim Aktivieren der Umgebung (etwa via source venv/bin/activate) ausgeführt werden. Betroffen sind nur von Angreifern kontrollierte virtuelle Umgebungen; Umgebungen, die nicht von einem Angreifer erstellt wurden oder ohne Aktivierung direkt genutzt werden (etwa ./venv/bin/python), sind nicht betroffen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: fremde virtuelle Umgebungen nicht aktivieren und auf eine korrigierte Python-Version aktualisieren.

Changelog

1. 2026-07-27 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Python

• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Sweet32 – DES/Triple-DES Birthday-Angriff (CVE-2016-2183) CVE-2016-2183
• zlib – Speicherbeschädigung beim Komprimieren (deflate) vor Version 1.2.12 CVE-2018-25032
• CVE-2009-3720 – Denial of Service in libexpat (Expat) CVE-2009-3720
• ABB Arctic ARM600 – Sicherheitslücke (CVE-2023-24329) CVE-2023-24329
• Visual Studio Code Python Extension Remote Code Execution CVE-2020-1171