CVE-2026-35167: Sicherheitslücke in Pypi
// Zusammenfassung
Auswirkungen Die Methode _get_versioned_path() in kedro/io/core.py erstellt Dateisystempfade, indem sie vom Benutzer bereitgestellte Versionszeichenfolgen ohne Bereinigung direkt einfügt. Da Versionszeichenfolgen als Pfadbestandteile verwendet werden, bleiben Traversierungssequenzen wie ../ erhalten und können aus dem vorgesehenen Verzeichnis des versionierten Datensatzes ausbrechen. Dies ist über mehrere Einstiegspunkte erreichbar: catalog.load(..., version=...), DataCatalog.from_config(..., load_versions=...
Die Sicherheitslücke CVE-2026-35167 betrifft Pypi und stellt eine Sicherheitslücke mit hohem Schweregrad dar, die reale Folgen für Organisationen hat, die betroffene Versionen einsetzen.
Umgehung von Sicherheitskontrollen
Die Ausnutzung kann es Angreifern ermöglichen, Sicherheitskontrollen zu umgehen und unbefugten Zugriff auf geschützte Ressourcen zu erlangen.
Risiko der Datenoffenlegung
Vertrauliche Unternehmensdaten können durch die Ausnutzung dieser Schwachstelle unbefugten Dritten offengelegt werden.
Compliance-Verstoß
Eine erfolgreiche Ausnutzung kann zu Verstößen gegen regulatorische Vorgaben gemäß GDPR, HIPAA, PCI-DSS oder SOC2 führen.
Führen Sie die folgenden Schritte aus, um festzustellen, ob Ihre Systeme gegenüber CVE-2026-35167 exponiert sind:
Prüfliste zur Erkennung
- Identifizieren Sie alle in Ihrer Umgebung bereitgestellten Instanzen von Pypi (lokale, Cloud- und containerisierte Bereitstellungen).
- Überprüfen Sie die Version Ihrer Pypi-Installation — anfällige Versionen sind im CVE-Sicherheitshinweis aufgeführt.
- Prüfen Sie die Zugriffsprotokolle auf ungewöhnliche Anfragemuster, die mit Versuchen zur Ausnutzung der Sicherheitslücke übereinstimmen.
- Suchen Sie nach Kompromittierungsindikatoren (IOCs), einschließlich unerwartet gestarteter Prozesse, ungewöhnlicher Netzwerkverbindungen oder veränderter Konfigurationsdateien.
- Führen Sie den automatisierten Schwachstellenscanner von KENSAI gegen Ihre Pypi-Bereitstellung aus, um die Exposition innerhalb weniger Minuten zu bestätigen.
- Prüfen Sie Ihr SIEM/IDS auf Warnmeldungen, die diese CVE oder zugehörige, von Threat-Intelligence-Anbietern veröffentlichte Angriffssignaturen erwähnen.
Sofort erforderliche Maßnahmen
- Installieren Sie unverzüglich den Hersteller-Patch — aktualisieren Sie Pypi gemäß den Angaben im CVE-Sicherheitshinweis auf die neueste gepatchte Version.
- Falls eine sofortige Installation des Patches nicht möglich ist, setzen Sie vorübergehende Schutzmaßnahmen wie WAF-Regeln zur Blockierung von Ausnutzungsversuchen um.
- Isolieren Sie das betroffene System bis zur Installation des Patches vom internen Netzwerk, um laterale Bewegungen von Angreifern zu verhindern.
- Beschränken Sie den Netzwerkzugriff auf die anfällige Komponente mithilfe von Firewall-Regeln und erlauben Sie ausschließlich vertrauenswürdige IP-Bereiche.
- Überprüfen und erneuern Sie alle Zugangsdaten (Passwörter, API-Schlüssel, Token), auf die ein Angreifer im Falle einer Ausnutzung möglicherweise zugreifen konnte.
- Aktivieren Sie eine umfassende Protokollierung und Alarmierung für die betroffene Komponente, um laufende Ausnutzungsversuche zu erkennen.
- Führen Sie nach der Installation des Patches einen Verifizierungsscan durch, um die Behebung der Sicherheitslücke zu bestätigen, bevor das System wieder in den Produktivbetrieb aufgenommen wird.
- Überprüfen Sie zugehörige Systeme und Abhängigkeiten, die möglicherweise von derselben Schwachstellenklasse betroffen sind.
Was ist CVE-2026-35167?
CVE-2026-35167 ist eine Sicherheitslücke mit hohem Schweregrad, die Pypi betrifft. Sie hat einen CVSS-Wert von 7.1 und erfordert die sofortige Aufmerksamkeit der Sicherheitsteams.
Wie schwerwiegend ist CVE-2026-35167?
Mit der Schweregradbewertung HOCH und einem CVSS-Wert von 7.1 stellt CVE-2026-35167 ein erhebliches Sicherheitsrisiko dar. Organisationen, die Pypi einsetzen, sollten die Behebung mit hoher Priorität behandeln.
Wird CVE-2026-35167 aktiv ausgenutzt?
Sicherheitsforscher haben Details zu dieser Sicherheitslücke veröffentlicht. Überwachen Sie den KEV-Katalog der CISA und Ihre Threat-Intelligence-Feeds auf Aktualisierungen zum Ausnutzungsstatus. Installieren Sie den Patch unabhängig vom aktuellen Ausnutzungsstatus.
Wie behebe ich CVE-2026-35167?
Die wichtigste Behebungsmaßnahme besteht darin, den vom Hersteller bereitgestellten Patch für Pypi zu installieren. Falls die Installation des Patches nicht sofort möglich ist, setzen Sie bis zum geplanten Patch-Termin vorübergehende kompensierende Kontrollen wie WAF-Regeln oder Netzwerkzugriffsbeschränkungen um.
Ist meine Organisation von CVE-2026-35167 betroffen?
Wenn Ihre Organisation Pypi verwendet, sollten Sie Ihre Exposition unverzüglich bewerten. Prüfen Sie die konkret betroffenen Versionen im CVE-Sicherheitshinweis und führen Sie einen automatisierten Schwachstellenscan durch, um Ihren Expositionsstatus zu bestätigen.