python-cryptography: Schwachstelle ermöglicht Umgehen von Sicherheitsvorkehrungen
WID-SEC-2023-0557 · erstmals 05.11.2020 · aktualisiert 17.09.2026 · CVSS 9,4
Worum es geht
Python ist eine universelle, üblicherweise interpretierte höhere Programmiersprache. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in python-cryptography ausnutzen, um Sicherheitsvorkehrungen zu umgehen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Sicherheitsvorkehrungen zu umgehen
Bin ich betroffen?
Betroffen sind laut BSI:
- Open Source Python Cryptography
- Debian Linux
- Amazon Linux 2
- Juniper JUNOS
- Red Hat Enterprise Linux
- Fedora Linux
- Ubuntu Linux
- SUSE Linux
- Avaya Aura Experience Portal
- IBM QRadar SIEM <7.5.0 UP8
- Dell PowerScale OneFS OneFS <9.4.0.18
- IBM Spectrum Protect Plus <10.1.17
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- IBM QRadar SIEM 7.5.0 UP8
- Dell PowerScale OneFS OneFS 9.4.0.18
- IBM Spectrum Protect Plus 10.1.17
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Ubuntu Security Notice USN-4613-1 vom 2020-11-04 ubuntu.com
- Github Security Advisory GHSA-hggm-jpg3-v476 vom 2020-11-04 github.com
- SUSE Security Update SUSE-SU-2020:3592-1 vom 2020-12-02 lists.suse.com
- SUSE Security Update SUSE-SU-2020:3629-1 vom 2020-12-04 lists.suse.com
- SUSE Security Update SUSE-SU-2021:1109-1 vom 2021-04-09 lists.suse.com
- Red Hat Security Advisory RHSA-2021:1608 vom 2021-05-18 access.redhat.com
- Red Hat Security Advisory RHSA-2021:2239 vom 2021-06-03 access.redhat.com
- Red Hat Security Advisory RHSA-2021:2479 vom 2021-06-17 access.redhat.com
- AVAYA Security Advisory ASA-2021-066 vom 2021-06-17 downloads.avaya.com
- Red Hat Security Advisory RHSA-2021:3119 vom 2021-08-10 access.redhat.com
- Red Hat Security Advisory RHSA-2021:3254 vom 2021-08-25 access.redhat.com
- Juniper Security Advisory JSA11245 vom 2021-10-14 kb.juniper.net
- SUSE Security Update SUSE-SU-2023:0604-1 vom 2023-03-02 lists.suse.com
- SUSE Security Update SUSE-SU-2023:2783-1 vom 2023-07-05 lists.suse.com
- SUSE Security Update SUSE-SU-2023:2783-2 vom 2023-09-20 lists.suse.com
- Fedora Security Advisory FEDORA-EPEL-2024-4FF425606F vom 2024-01-24 bodhi.fedoraproject.org
- IBM Security Bulletin 7145367 vom 2024-03-27 www.ibm.com
- Dell Security Advisory DSA-2024-210 vom 2024-06-04 www.dell.com
- IBM Security Bulletin 7230557 vom 2025-04-10 www.ibm.com
- Amazon Linux Security Advisory ALAS2-2025-2930 vom 2025-07-10 alas.aws.amazon.com
- Debian Security Advisory DLA-4579 vom 2026-05-11 lists.debian.org
- SUSE Security Update SUSE-SU-2026:23404-1 vom 2026-09-10 lists.suse.com
- SUSE Security Update SUSE-SU-2026:23570-1 vom 2026-09-16 lists.suse.com
CVE: CVE-2020-25659
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.