🟠 CVE-2026-12191: High Schwachstelle

„`html

Zusammenfassung

In Comma AI Openpilot Version 0.11 wurde eine Sicherheitslücke (CVE-2026-12191) mit dem Schweregrad „High“ (CVSS 7.8) entdeckt. Die Schwachstelle betrifft die Pickle-Deserialisierungsfunktion in der Datei selfdrive/modeld/modeld.py und ermöglicht potenziell die Ausführung von bösartigem Code durch lokale Angreifer.

Betroffene Systeme

Betroffen ist Comma AI Openpilot Version 0.11 und möglicherweise frühere sowie später veröffentlichte Versionen, sofern diese die gleiche fehlerhafte Implementierung enthalten. Die Schwachstelle erfordert lokalen Zugriff auf das System und betrifft somit primär Fahrzeuge oder Entwicklungsumgebungen, auf denen Openpilot aktiv läuft.

Technische Details

Die Vulnerabilität liegt in der unsicheren Verwendung der Python-Pickle-Module (pickle.load und pickle.loads) in der Modeld-Komponente. Pickle ist ein bekanntermaßen unsicheres Serialisierungsformat, das beliebigen Python-Code während des Deserialisierungsprozesses ausführen kann. Ein Angreifer mit lokalen Zugriff kann manipulierte Pickle-Objekte einschleusen, die zu Remote Code Execution (RCE) führen.

Die genaue Angriffsszenarien umfassen das Ersetzen oder Modifizieren serialisierter Daten in Speicherpfaden oder das Ausnutzen von Dateioperationen, die unkontrollierte Pickle-Daten laden.

Empfohlene Massnahmen

• Sofortige Überprüfung der eingesetzten Openpilot-Version durchführen
• Lokalen Zugriff auf Systeme mit Openpilot 0.11 streng kontrollieren und beschränken
• Monitoring für verdächtige Pickle-Operationen implementieren
• Auf sichere Serialisierungsformate wie JSON oder MessagePack migrieren
• Vendor-Updates befolgen, sobald Patches verfügbar sind
• Implementierung von Code-Integrity-Checks erwägen

Bewertung

Der CVSS-Score von 7.8 reflektiert die ernsthafte Natur dieser Schwachstelle trotz der Einschränkung auf lokale Angreifer. Das Fehlen eines Vendors-Patches bei fehlender Kommunikation verschärft die Situation. Betroffene Organisationen sollten proaktiv ihre Systeme überprüfen und Mitigationsmaßnahmen ergreifen.

„`