Deutschland: CERT‑Bund gibt Sicherheitswarnung zu CPython‑Fehler heraus
Ein neuer Sicherheitshinweis des CERT‑Bund warnt vor einer Schwachstelle im Python‑Interpreter CPython, die es einem entfernten, anonymen Angreifer erlaubt, Dateien zu manipulieren. Die Meldung trägt die Kennung WID‑SEC‑2026‑3016 und wurde am 26. April 2026 veröffentlicht.
Hintergrund der Schwachstelle
Die betroffene Komponente ist Teil der Standardbibliothek von CPython, die in vielen Server‑ und Desktop‑Umgebungen eingesetzt wird. Laut dem Advisory kann ein Angreifer über speziell formatierte Eingaben in die betroffene Funktion Code ausführen, der anschließend Schreibrechte auf das Dateisystem erlangt.
Technische Details
Die Lücke beruht auf einer fehlerhaften Validierung von Pfad‑ und Dateinamen, wodurch ein Pfad‑Traversal ermöglicht wird. Durch die Kombination mit bestehenden Privilegien kann der Angreifer beliebige Dateien überschreiben oder neue Dateien anlegen. Der Advisory gibt an, dass die Ausnutzung ohne Authentifizierung möglich ist.
Betroffene Systeme
Alle Installationen von CPython ab Version 3.10, die die betroffene Bibliothek nutzen, sind potenziell gefährdet. Der Hinweis richtet sich an Betreiber von Web‑Applikationen, automatisierten Skripten und eingebetteten Systemen, die Python als Laufzeitumgebung einsetzen.
Empfohlene Gegenmaßnahmen
Der CERT‑Bund empfiehlt, sofort auf die von der Python‑Community bereitgestellte Patch‑Version zu aktualisieren. Zusätzlich sollten Administratoren Eingaben streng prüfen und den Zugriff auf kritische Verzeichnisse einschränken. Für Systeme, die nicht unmittelbar aktualisiert werden können, wird ein temporäres Deaktivieren der betroffenen Funktionalität geraten.
Ausblick
Der Advisory weist darauf hin, dass weitere Untersuchungen laufen, um mögliche Nebenwirkungen zu identifizieren. Nutzer werden gebeten, Rückmeldungen an das CERT‑Bund zu senden, sobald sie die Aktualisierung durchgeführt haben. Die Meldung bleibt bis auf Weiteres aktiv, bis alle betroffenen Systeme gesichert sind.
Dieser Bericht basiert auf Informationen von CERT‑Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung