CairoSVG: Denial of Service mit quadratischer Laufzeit beim Parsen von SVG-Pfaden
Zusammenfassung
CairoSVG ist eine Python-Bibliothek, die SVG-Dateien auf Basis von Cairo konvertiert. Versionen vor 2.9.1 weisen einen Fehler bei der Pfadverarbeitung auf: Ein SVG mit einem Pfad aus vielen Segmenten führt beim Rendern zu quadratischem CPU-Verbrauch. Ein nicht authentifizierter Angreifer kann eine SVG-Datei von unter einem Megabyte an eine Anwendung senden, die unvertrauenswürdige Dateien rendert, und so die CPU auslasten, was zu einem Denial of Service führt. Auswirkungen auf Vertraulichkeit oder Integrität sind nicht bekannt.
Betroffen
- Kozea CairoSVG-Versionen vor 2.9.1
- Anwendungen, die svg2png, svg2pdf oder svg2ps auf unvertrauenswürdige SVG-Eingaben anwenden
Behoben in
- Behoben in CairoSVG 2.9.1 (GHSA-c3jg-qh8m-j3h2)
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert; das Update auf die neue Version ist die Lösung.
- Übergangsmassnahmen (eigene Empfehlungen, nicht Herstellervorgabe): SVG-Uploads von unbekannten Benutzern ablehnen oder einschränken, die Upload-Grösse begrenzen und das Rendering in einem isolierten Worker mit CPU- und Zeitlimiten ausführen.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: ja, technische Auswirkung: partiell.
- Ein öffentlicher Proof of Concept wird von einem Drittprojekt beschrieben; nicht unabhängig verifiziert.
- Es wurden keine Hinweise auf eine aktive Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Python-Anwendungen und Container auf cairosvg-Versionen unter 2.9.1 prüfen.
- Auf cairosvg 2.9.1 oder neuer aktualisieren und Lock-Dateien sowie Images neu erstellen.
- Internetseitig erreichbare Dienste, die vom Benutzer bereitgestellte SVG-Dateien rendern, priorisieren und bis zur Aktualisierung Übergangsmassnahmen anwenden.
- CPU-Auslastung der Rendering-Dienste auf ungewöhnliche Spitzen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-c3jg-qh8m-j3h2 github.com
- CairoSVG release 2.9.1 github.com
- Fix commit: regex-based path tokenizer github.com
- Fix commit: deque for vertices github.com
- SUSE security update SUSE-SU-2026:4949-1 vulners.com
- Ubuntu CVE tracker ubuntu.com
- GitLab advisory database entry advisories.gitlab.com
- VulDB entry 415518 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:15.
Referenzen der NVD (5)
- https://github.com/Kozea/CairoSVG/commit/9d63f049f9988d0ddda3eb94564ac3a50a286523
- https://github.com/Kozea/CairoSVG/commit/a4d585eb374724b79676e9cceaa9e9a1a4358565
- https://github.com/Kozea/CairoSVG/releases/tag/2.9.1
- https://github.com/Kozea/CairoSVG/security/advisories/GHSA-c3jg-qh8m-j3h2
- https://github.com/Kozea/CairoSVG/security/advisories/GHSA-c3jg-qh8m-j3h2
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.