„`html
Zusammenfassung
CVE-2026-74899 beschreibt eine kritische Sandbox-Escape-Vulnerability in openssl_encrypt vor Version 1.4.0. Die Schwachstelle ermöglicht es Angreifern, Sicherheitsrestriktionen zu umgehen und beliebige Betriebssystembefehle auszuführen. Der CVSS-Score von 9.8 unterstreicht die erhebliche Gefährdung von betroffenen Systemen.
Betroffene Systeme
Vulnerable sind alle openssl_encrypt-Installationen vor Version 1.4.0. Die Schwachstelle betrifft insbesondere Systeme, die die IsolatedPluginExecutor-Komponente zur AusfĂĽhrung von Python-Code in Sandbox-Umgebungen einsetzen. Dies umfasst Web-Anwendungen, API-Server und Plugin-basierte Architekturen, die auf Sandbox-Isolation angewiesen sind.
Technische Details
Die Vulnerability liegt in der fehlerhaften Isolationsimplementierung der restricted exec()-Builtins. Angreifer können Python-Typobjekte manipulieren und über die Klassenhierarchie-Traversierung mittels __class__.__mro__.__subclasses__() auf Systemfunktionen zugreifen. Diese Technik ermöglicht das Brechen der Sandbox-Begrenzungen und führt zu unbeschränkter Code-Ausführung mit den Privilegien des Zielservices.
Empfohlene Massnahmen
- Sofortiges Patching: Aktualisierung auf openssl_encrypt Version 1.4.0 oder höher ist zwingend erforderlich
- Netzwerk-Segmentierung: Isolation gefährdeter Systeme zur Risikominderung
- Input-Validierung: Strikte Validierung aller an Sandbox-Komponenten ĂĽbergebenen Eingaben
- Monitoring: Überwachung auf verdächtige Python-Zugriffe auf __class__ und __subclasses__()
- Incident Response: ĂśberprĂĽfung von Logs auf Exploitierungsversuche
Bewertung
Kritikalität: CRITICAL | CVSS: 9.8 | Angriffsvektor: Network | Verfügbarer Patch: Nein
Diese Vulnerability erfordert höchste Priorität bei der Patchverwaltung. Die fehlende Patchverfügbarkeit zum gegenwärtigen Zeitpunkt macht sofortige Mitigationsmassnahmen unverzichtbar.
„`