🟡 CVE-2026-44722: Medium Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-44722 betrifft die Python-Bibliothek pyzipper in Versionen vor 0.4.0. Ein Operator-Precedence-Fehler führt dazu, dass das sichere AE-2-Verschlüsselungsformat nicht automatisch selektiert wird. Stattdessen werden verschlüsselte Einträge im weniger sicheren AE-1-Format geschrieben, wodurch der CRC32-Prüfsummenwert im ZIP-Header exponiert wird.

Betroffene Systeme

Alle Systeme, die pyzipper in den Versionen vor 0.4.0 verwenden, sind anfällig. Dies betrifft insbesondere Python-Anwendungen, die die Bibliothek zur Verarbeitung von AES-verschlüsselten ZIP-Dateien einsetzen. Der Fehler manifestiert sich plattformunabhängig.

Technische Details

Der Root-Cause liegt in der Datei pyzipper/zipfile_aes.py. Ein fehlerhaft implementierter logischer Operator führt dazu, dass die Bedingung zur Auswahl des AE-2-Formats nicht korrekt evaluiert wird. Das resultierende AE-1-Format bietet schwächere Authentifizierung und exponiert die CRC32-Prüfsumme, die zum Validieren von Dateiinhalten herangezogen wird.

Ein Angreifer mit Zugriff auf das ZIP-Archiv kann die exponierte CRC32-Prüfsumme nutzen, um mittels Brute-Force-Attacken gültige Plaintexte für kleine oder entropieschwache Dateien zu identifizieren. Dies ist besonders kritisch für Dateien mit begrenzt möglichen Inhalten (Passwörter, PINs, Konfigurationswerte).

Bei unseekbaren ZIP-Archiven wird die CRC32 zusätzlich im Data-Descriptor-Bereich gespeichert, wodurch mehrere Angriffspunkte entstehen.

Empfohlene Massnahmen

• Sofortiges Upgrade auf pyzipper 0.4.0 oder neuer durchführen
• Abhängigkeiten in requirements.txt und Dependency-Management-Tools aktualisieren
• Bereits mit anfälliger Version verschlüsselte Archive neu mit Version 0.4.0+ verschlüsseln
• Sensible Dateien in ZIP-Archiven mit zusätzlichen Sicherheitsmechanismen schützen
• Audit durchführen, um betroffene Deployments zu identifizieren

Bewertung

Schweregrad: Medium (CVSS 6.2)
Angriffsvektor: Local
Verfügbarkeit eines Patches: Ja (Version 0.4.0)

Das Medium-Rating ist gerechtfertigt, da ein lokaler Zugriff auf das Archive erforderlich ist. Die Gefährdung hängt stark von der Entropie der verschlüsselten Daten ab. Bei hochentropischen Dateien ist ein praktischer Angriff unrealisierbar.

„`