Python "virtualenv": Schwachstelle ermöglicht Codeausführung
WID-SEC-2024-3682 · erstmals 11.12.2024 · aktualisiert 19.10.2026 · CVSS 7,8
Worum es geht
Python ist eine universelle, üblicherweise interpretierte, höhere Programmiersprache. Ein entfernter, anonymer Angreifer kann eine Schwachstelle im Python "virtualenv" Paket ausnutzen, um beliebigen Programmcode auszuführen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Programmcode auszuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Red Hat Enterprise Linux
- Ubuntu Linux
- Oracle Linux
- Red Hat Enterprise Linux 8
- Open Source Python 3.6
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Die vom Hersteller bereitgestellten Updates einspielen; Details in den Quellen unten.
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Oracle Linux Security Advisory ELSA-2024-10953 vom 2024-12-13 linux.oracle.com
- Red Hat Security Advisory RHSA-2024:11093 vom 2024-12-16 access.redhat.com
- Red Hat Security Advisory RHSA-2024:11091 vom 2024-12-16 access.redhat.com
- Red Hat Security Advisory RHSA-2024:11048 vom 2024-12-16 access.redhat.com
- Red Hat Security Advisory RHSA-2024:11094 vom 2024-12-16 access.redhat.com
- Red Hat Security Advisory RHSA-2025:0002 vom 2025-01-01 access.redhat.com
- Red Hat Security Advisory RHSA-2024:10953 vom 2024-12-10 access.redhat.com
- Oracle Linux Security Advisory ELSA-2024-11048 vom 2025-01-17 linux.oracle.com
- Ubuntu Security Notice USN-7271-1 vom 2025-02-18 ubuntu.com
- Ubuntu Security Notice USN-7271-2 vom 2025-02-25 ubuntu.com
- Oracle Linux Security Advisory ELSA-2026-82858 vom 2026-10-16 linux.oracle.com
CVE: CVE-2024-53899
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.