🟠 CVE-2026-9147: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-9147 ist eine kritische Code-Injection-Anfälligkeit in der uproot-Bibliothek, die zur Laufzeit Python-Klassencode aus ROOT-Dateien generiert. Eine unsachgemäße Behandlung von TStreamerInfo-Metadaten ermöglicht die Einschleusung von Python-Code durch manipulierte ROOT-Dateien. Der Schweregrad wird mit CVSS 7.8 (High) bewertet.

Betroffene Systeme

Alle Systeme, die uproot zur Verarbeitung von ROOT-Dateien nutzen, sind potenziell betroffen. Dies umfasst insbesondere:

• Python-Anwendungen mit uproot-Integration
• High-Energy-Physics-Software und Datenanalysepipelines
• Systeme, die untrusted ROOT-Dateien verarbeiten

Technische Details

uproot generiert dynamisch Python-Quellcode basierend auf TStreamerInfo-Einträgen aus ROOT-Dateien und kompiliert diesen zur Laufzeit. Die Anfälligkeit entsteht durch unzureichendes Escaping von dateigesteuerten Metadatenfeldern (z.B. Streamer-Elementnamen). Diese werden ohne sichere Quoting-Mechanismen (repr() oder !r-Format-Spezifizierer) in den generierten Python-Code interpoliert.

Ein Angreifer kann gezielt formulierte Inhalte in Metadatenfelder einfügen, die Python-Ausdrücke unterbrechen und beliebige Code-Injektionen ermöglichen. Beim Aufruf der entsprechenden Reader-Methode wird der injizierte Python-Code im Prozesskontext ausgeführt und ermöglicht damit vollständige Codeausführung mit den Berechtigungen der Anwendung.

Empfohlene Massnahmen

• Verarbeitung untrusted ROOT-Dateien in isolierten Umgebungen durchführen
• Eingabevalidierung und Sandboxing implementieren
• uproot-Version auf ein gepatchtes Release aktualisieren (sobald verfügbar)
• Dateiquellen beschränken und authentifizieren
• Monitoring auf ungewöhnliche Prozessaktivitäten implementieren

Bewertung

CVSS 7.8 (High) – Hohe Priorität für Sicherheitsmaßnahmen. Die Anfälligkeit ermöglicht unauthentifizierte Remote-Code-Execution durch lokale Dateibenutzung. Unmittelbare Abhilfemaßnahmen werden empfohlen.

„`