🟠 CVE-2026-14534: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-14534 ist eine kritische Sicherheitslücke in Trail of Bits fickling bis Version 0.1.10. Die Schwachstelle ermöglicht die Umgehung des Sicherheitsmechanismus durch fehlende Einträge in der UNSAFE_IMPORTS Denylist (fickle.py). Angreifer können arbitrary Code über manipulierte Pickle-Payloads ausführen.

Betroffene Systeme

Trail of Bits fickling Version 0.1.10 und älter sind vulnerabel. Die Schwachstelle betrifft alle Systeme, die fickling.load() API zur Deserialisierung von Pickle-Objekten verwenden. Ein Patch ist derzeit nicht verfügbar.

Technische Details

Die Sicherheitslücke basiert auf unvollständiger Implementierung der Sicherheitsprüfungen:

• Fehlende Denylist-Einträge: Die Python-Standardmodule _posixsubprocess, site und atexit fehlen in der UNSAFE_IMPORTS Denylist
• Bypassed Security Gate: Die check_safety()-Funktion returniert LIKELY_SAFE ohne Erkenntnisse, obwohl gefährliche Funktionen vorhanden sind
• Gefährliche Funktionen:
  • _posixsubprocess.fork_exec (Process Spawning auf C-Ebene)
  • site.execsitecustomize (Beliebiger Code über Site-Customization)
  • atexit._run_exitfuncs (Ausführung aller Exit-Handler Callbacks)
• Verwandte CVEs: Ähnliche Schwachstellen in cProfile (CVE-2026-22607), pty (CVE-2025-67748) und marshal/types (CVE-2025-67747)
• Heuristische Schwächen: OvertlyBadEvals und UnsafeImports detektieren Standard-Library-Imports nicht; SETITEMS Opcode-Pattern besiegt UnusedVariables Heuristic

Empfohlene Massnahmen

Sofortige Massnahmen:

• Verwendung von fickling.load() in Produktionsumgebungen unterbinden
• Pickle-Deserialisierung nur für vertrauenswürdige Quellen durchführen
• Alternative Deserialisierungsmethoden (JSON, protobuf) evaluieren
• Input-Validierung vor Pickle-Verarbeitung implementieren
• Netzwerkisolation für anfällige Systeme

Bewertung

Mit CVSS 8.8 und Netzwerk-Angriffsvektor stellt diese Lücke eine hohe Bedrohung dar. Remote Code Execution ohne Authentifizierung ist möglich. Die fehlende Patch-Verfügbarkeit verschärft die Situation erheblich. Betroffene Organisationen sollten sofortige Mitigationsmassnahmen ergreifen und den Patch-Status kontinuierlich überwachen.

„`