CVE-2026-115586
Beschreibung
virtualenv ist ein Werkzeug zum Erstellen isolierter virtueller Python-Umgebungen. Vom 21.14.9 bis 21.14.13 kann das Bash Bin/Activate-Skript einen vom Angreifer gesteuerten --prompt-Wert in PS1 kopieren, ohne Dollarzeichen oder Backticks zu entkommen, wenn sowohl Promptvars als auch der POSIX-Modus während der Aktivierung deaktiviert sind. Durch das erneute Aktivieren von promptvars, das Ausführen von set -o posix oder das Starten eines interaktiven Child-Bashs, der die exportierte PS1 erbt, kann die Befehlsersetzung im gespeicherten VIRTUAL ENV PROMPT-Wert erweitert und Befehle als Benutzer ausgeführt werden, der die Umgebung aktiviert. Dieses Problem wurde in Version 21.14.13 behoben.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.