🔴 CVE-2026-10042: Critical Schwachstelle

„`html

Zusammenfassung

Die CVE-2026-10042 beschreibt eine kritische Remote Code Execution (RCE) Schwachstelle in manga-image-translator. Die Vulnerabilität existiert im Shared API Server Mode und wird durch unsichere Deserialisierung von pickle-Daten in der share.py-Komponente verursacht. Mit einem CVSS-Score von 9.8 wird diese Sicherheitslücke als kritisch eingestuft und ermöglicht Angreifern die vollständige Kompromittierung des Server-Prozesses.

Betroffene Systeme

manga-image-translator in der Shared API Server Mode-Konfiguration ist von dieser Vulnerabilität betroffen. Besonders kritisch ist die Situation bei Deployments in Standard-Docker-Containern, die mit Root-Privilegien ausgeführt werden, da dies zu einer vollständigen Container-Kompromittierung führt. Die genaue Versionierung wurde nicht spezifiziert.

Technische Details

Die Schwachstelle liegt in den REST-API-Endpoints /execute/{method_name} und /simple_execute/{method_name}. Diese Endpunkte deserialisieren HTTP-Request-Bodies mittels pickle.loads(), ohne die Integrität oder Authentizität der Eingabedaten zu validieren.

Python’s pickle-Modul ist grundsätzlich unsicher für untrusted Daten, da deserialisierte Objekte beliebigen Python-Code ausführen können. Angreifer können speziell konstruierte pickle-Payloads erstellen, die während der Deserialisierung automatisch Kommandos mit den Privilegien des Server-Prozesses ausführen.

Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung, was die Kritikalität erheblich erhöht.

Empfohlene Massnahmen

• Sofortiges Deaktivieren des Shared API Server Mode, sofern nicht zwingend erforderlich
• Implementierung von Netzwerk-Segmentierung und Zugriffsbeschränkungen auf die betroffenen Endpoints
• Ausführung von manga-image-translator mit minimalen erforderlichen Privilegien (nicht als root)
• Monitoring auf verdächtige HTTP-Anfragen an die betroffenen Endpoints
• Erstellung von Sicherheits-Patches durch das Entwicklerteam abwarten
• Temporär: Verwendung alternativer Software bis ein Patch verfügbar ist

Bewertung

Kritikalität: Äußerst hoch. Die Kombination aus fehlender Authentifizierung, direkter Code-Execution und Root-Privilegien in Standard-Deployments macht diese Vulnerabilität zu einer kritischen Bedrohung. Unverzügliches Handeln ist erforderlich.

„`