„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-74872 betrifft openssl_encrypt-Versionen vor 1.4.0 und ermöglicht Angreifern die Ausführung beliebigen nativen Codes. Die Schwachstelle liegt in der unsicheren Implementierung des Whirlpool-Hash-Algorithmus, der .so-Module ohne Integritätsprüfung lädt. Mit einem CVSS-Wert von 9.8 wird die Lücke als kritisch eingestuft.
Betroffene Systeme
Alle Systeme mit installiertem openssl_encrypt vor Version 1.4.0 sind betroffen. Dies umfasst insbesondere Python-Umgebungen, die das Paket zur Verschlüsselung einsetzen. Die Anfälligkeit erstreckt sich auf verschiedene Linux-, Unix- und Windows-Distributionen, auf denen openssl_encrypt für kryptographische Operationen genutzt wird.
Technische Details
Die Vulnerability basiert auf einer kritischen Sicherheitsschwäche im Modul-Ladesystem. Beim Initialisieren des Whirlpool-Hash-Implementierung verwendet openssl_encrypt Glob-Patterns zur Lokalisierung von .so-Dateien (Shared Objects). Das System sucht beispielsweise nach Dateien, die dem Pattern whirlpool*py313*.so entsprechen.
Das Sicherheitsproblem: Es findet keine Integritätsprüfung der geladenen Module statt. Angreifer können böswillige .so-Dateien mit passendem Namensschema in site-packages-Verzeichnisse einschleusen. Diese werden beim Modulimport als vertrauenswürdig behandelt und mit vollständigen Systemrechten ausgeführt.
Der Angriffsvektor ist netzwerkbasiert. Dies ermöglicht Remote Code Execution (RCE) insbesondere in Python-Umgebungen mit schwachen Zugriffskontrollmechanismen oder bei Verwendung von unsicheren Package-Quellen.
Empfohlene Massnahmen
Sofortmassnahmen: Erhöhte Überwachung von site-packages-Verzeichnissen implementieren. Verzeichnisberechtigungen auf Read-Only für unprivilegierte Nutzer setzen. Python-Umgebungen isolieren.
Langfristige Lösung: Upgrade auf openssl_encrypt 1.4.0 oder höher durchführen. Dies behebt die unsichere Glob-Pattern-Implementierung durch explizite Module-Whitelisting.
Zusätzlich: Nur vertrauenswürdige Package-Repositories nutzen. Cryptographische Signaturen von Paketen verifizieren. Code-Integrity-Monitoring implementieren.
Bewertung
Mit einem CVSS-Wert von 9.8 liegt eine kritische Schwachstelle vor. Das Risiko ist unmittelbar. Sofortige Patches sind erforderlich, da aktuell kein Patch verfügbar ist und Systeme erheblich gefährdet sind. Zeitnahe Verfügbarkeit eines Sicherheits-Updates ist dringend zu erwarten.
„`