patool: OS-Command-Injection unter Windows über manipulierte Archivdateinamen
Zusammenfassung
patool vor Version 4.0.6 maskiert unter Windows cmd.exe-Metazeichen und eingebettete doppelte Anführungszeichen in Archivdateinamen nicht korrekt. Ein Angreifer, der ein Archiv mit einem manipulierten Dateinamen, etwa mit einem kaufmännischen Und-Zeichen, bereitstellen kann, kann Befehle mit den Rechten des patool-Prozesses ausführen. Voraussetzung ist, dass ein Benutzer oder ein automatisierter Job eine solche Datei unter Windows entpackt oder verarbeitet, wobei die Lücke einzelne Dateiformate wie gzip betrifft, wenn der Aufruf mit shell=True erfolgt.
Betroffen
- patool-Versionen vor 4.0.6 (CNA-Eintrag; VulDB nennt bis 4.0.5)
- Nur Windows-Systeme
- Python-Umgebungen und Anwendungen, die patool einbetten
Behoben in
- Version 4.0.6 (Patch-Commit 592f35761f428afbcde2888ecd3cc4af43881aeb)
Umgehung
- Unbekannt. Es ist keine Workaround des Herstellers dokumentiert.
- Unter Windows keine nicht vertrauenswürdigen Archivdateinamen an patool übergeben, bis das Update eingespielt ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- VulDB: kein Exploit verfügbar.
- Keine öffentlichen Proof-of-Concepts oder Ausnutzungsmeldungen gefunden; der KEV-Status wurde nicht direkt geprüft.
Unsere Empfehlung
- Windows-Systeme und Python-Umgebungen auf patool prüfen (zum Beispiel mit pip show patool).
- patool auf Version 4.0.6 oder neuer aktualisieren.
- Anwendungen prüfen, die patool mitliefern oder aufrufen, und Archive aus E-Mails, Uploads oder von Partnern bis zur Behebung als nicht vertrauenswürdig behandeln.
- Die gepatchte Version über den Distributions-Tracker verifizieren, da der Status der Distributionen unklar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Patch commit 592f357 github.com
- Vulnerable code at tag 4.0.5 github.com
- patool project on GitHub github.com
- Ubuntu security tracker ubuntu.com
- VulDB entry 414970 vuldb.com
- Hol.org CVE summary hol.org
- PyPI patool 4.0.6 pypi.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:15.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.