Mobile-Menu

Mehrere Python-Versionen betroffen BSI warnt vor Schwachstellen in CPython

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
secunet Security Networks AG
FTAPI Software GmbH

Das BSI hat zwei Sicherheitshinweise zu drei Schwachstellen in CPython veröffentlicht. Betroffen sind mehrere Python-Versionen und Produkte wie Linux-Distributionen. Angreifer können Dateien manipulieren oder einen Denial of Service auslösen.

In zwei Sicherheitshinweisen warnt das BSI vor drei Schwachstellen in CPython.(Bild: lucadp - stock.adobe.com)
In zwei Sicherheitshinweisen warnt das BSI vor drei Schwachstellen in CPython.
(Bild: lucadp - stock.adobe.com)

Das BSI warnt in zwei Sicherheitshinweisen vor Schwachstellen in CPython, der Referenz­implementierung der Programmiersprache Python: WID-SEC-2026-2044 und WID-SEC-2026-2272. Angriffe sind laut BSI aus der Ferne möglich und bergen die Gefahr von Denial-of-Service-Angriffen, dem Umgehen von Sicherheitsmaßnahmen und der Manipulation von Daten:

Während zwei der Sicherheitslücken mit dem Schweregrad „hoch“ eingestuft werden und eine sogar nur mit einem mittleren Schweregrad, vergibt das BSI in seinen Warnung einen kritischen CVSS Base Score von 10.0, was deutlich über den Scores der Enisa liegt. Dies könnte daran liegen, dass CPython die am häufigsten genutzte Python-Implementierung und somit enorm weit verbreitet ist. Cyberangriffe über die genannten Schwachstellen könnten somit weltweit viele Softwareprojekte betreffen.

Die CPython-Sicherheitslücken im Detail

Die als am schwerwiegendste Schwachstelle EUVD-2026-42638 / CVE-2026-15308 betrifft den HTML-Parser von CPython. Das Modul „html.parser“ ist eine Sammlung von Funktionen und Klassen, die HTML-Code zerlegen. Die darin enthaltene Klasse „HTMLParser“ verarbeitet HTML schrittweise. Bekommt sie unkontrollierte Daten mit wiederholten, nicht abgeschlossenen Markup-Deklarationen, wird die CPU stark belastet. Das ermöglicht einen Denial-of-Service-Angriff.

Bei EUVD-2026-38490 / CVE-2026-11940 geht es um die Funktion „extractall()“ im Modul „tarfile“. Mit ihr entpackt CPython Tar-Archive, also gepackte Sammlungen von Dateien. Die Filter „data“ und „tar“ sollen verhindern, dass dabei Dateien außerhalb des Zielverzeichnisses landen. Ein präpariertes Archiv kann diese Filter umgehen, indem ein Hardlink (ein zweiter Name für dieselben Daten) auf einen Symlink (einen Verweis auf einen anderen Pfad) verweist. So sind Lese- oder Schreibzugriffe außerhalb des Zielverzeichnisses möglich. Laut CVSS-Vektor erfolgt der Angriff über das Netzwerk, ohne Anmeldung und ohne Nutzerinteraktion.

Und EUVD-2026-38554 / CVE-2026-0864 betrifft das Modul „configparser“, mit dem CPython Konfigurationsdateien liest und schreibt. Dabei können Angreifer unerwartete Schlüssel und Werte in die Datei einschleusen, sofern sie einen Wert kontrollieren, den das Modul schreibt. Der Wert muss mehrzeilig sein und das Steuerzeichen „\r“ enthalten, das einen Zeilenumbruch auslöst. Laut CVSS-Vektor braucht ein Angreifer dafür lokalen Zugriff und hohe Rechte, und es ist eine Nutzerinteraktion nötig.

Folgende CPython-Versionen sind von den drei Sicherheitslücken betroffen:

  • CPython bis vor 3.10.21
  • CPython 3.11.0 bis vor 3.11.16
  • CPython 3.12.0 bis vor 3.12.14
  • CPython 3.13.0 bis vor 3.13.15
  • CPython 3.14.0 bis vor 3.14.7
  • CPython 3.15.0a1 bis vor 3.15.0b4

Zudem sind verschiedene Distributionen betroffen, darunter Red Hat Enterprise Linux, SUSE Linux und openSUSE, Debian Linux und Ubuntu Linux.

Aufgrund der hohen Verbreitung von CPython und der kritischen Einstufung durch das BSI sollten Unternehmen prüfen, ob sie CPython direkt oder indirekt über Linux-Distributionen und Herstellerprodukte einsetzen. Betroffene Systeme sollten sie auf eine der korrigierten Versionen aktualisieren.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50985805)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte