Amazon Ion Python: Denial of Service durch unkontrollierte Rekursion im Ion-Reader

Zusammenfassung

Amazon Ion Python, eine Open-Source-Implementierung der Amazon-Ion-Datennotation für Python, enthält im Ion-Reader eine Schwachstelle durch unkontrollierte Rekursion. Ein entfernter, nicht authentifizierter Angreifer kann einen speziell aufgebauten, tief verschachtelten Ion-Wert senden, der die Anwendung mit der Bibliothek zum Absturz bringt, was zu einem Denial of Service führt. Das Risiko besteht nur dort, wo eine Anwendung Ion-Daten aus nicht vertrauenswürdigen Quellen verarbeitet.

Betroffen

• ion-python-Versionen vor 0.15.0
• Betroffener Bereich laut Hersteller: < 0.15.0 (Standard: nicht betroffen)

Behoben in

• Behoben in ion-python Version 0.15.0
• Forks und abgeleiteter Code müssen laut Hersteller ebenfalls mit den neuen Korrekturen gepatcht werden

Umgehung

• Die C-Erweiterung deaktivieren (simpleion.c_ext = False) und RecursionError, die innerhalb des Moduls simpleion ausgelöst wird, explizit behandeln. Dies ist eine Übergangslösung; das Update ist die vom Hersteller empfohlene Behebung.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatisierbar ja, technische Auswirkung partiell.
• EPSS 0.00441 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• Python-Umgebungen und Requirements-Dateien auf ion-python prüfen (zum Beispiel mit pip show ion-python).
• Internetexponierte Dienste identifizieren, die Ion-Daten aus nicht vertrauenswürdigen Quellen verarbeiten.
• Auf ion-python 0.15.0 oder neuer aktualisieren, einschliesslich kopierter oder eingebetteter Versionen.
• Falls das Update verzögert ist, die Konfigurationsmassnahme anwenden und auf Prozessneustarts überwachen.
• Priorität: für die meisten KMU gering bis mittel, höher bei der Verarbeitung nicht vertrauenswürdiger Ion-Eingaben.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• AWS Security Bulletin 2026-122-AWS aws.amazon.com
• GitHub Security Advisory GHSA-93q6-f8hx-vv7f github.com
• ion-python Release v0.15.0 github.com
• OSV CVE-2026-104020 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:16.