dataclasses-avroschema: Codeeinschleusung über fixed-Typ-Aliase im Code-Generator

Zusammenfassung

dataclasses-avroschema erzeugt Python-Code aus Avro-Schemas. In den Versionen 0.38.0 bis 0.70.5 wird ein einfacher String als aliases-Wert eines Avro-fixed-Typs ohne Anführungszeichen in die generierte Annotation types.confixed übernommen. Python wertet diesen Ausdruck beim Import des generierten Moduls aus, sodass ein präpariertes Schema beliebigen Code ausführen kann. Die CVSS-Bewertung stuft den Angriff als netzwerkerreichbar mit Benutzerinteraktion ein, die Schwachstelle liegt jedoch nicht in einem netzwerkexponierten Dienst; das Risiko liegt in der Lieferkette der Schemas.

Betroffen

• dataclasses-avroschema von 0.38.0 bis 0.70.5 (CVE-Eintrag und GitHub-Advisory; ein Drittanbieter-Aggregator nennt einen abweichenden Bereich, der unbestätigt ist)

Behoben in

• Version 0.70.6, die aliases-Werte, die keine Listen sind, abweist

Umgehung

• aliases als Liste angeben, wie es die Avro-Spezifikation verlangt; dies hilft nur, wenn Sie die Schemas kontrollieren
• Den Code-Generator nicht auf Schemas aus unvertrauenswürdigen Quellen anwenden und generierte Module vor dem Import prüfen

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als no
• Das GitHub-Advisory enthält einen Proof-of-Concept-Abschnitt; ein unabhängiger öffentlicher Exploit wurde nicht gefunden

Unsere Empfehlung

• Prüfen, ob dataclasses-avroschema installiert ist, auch als transitive Abhängigkeit
• Wo der Code-Generator eingesetzt wird, auf Version 0.70.6 oder neuer aktualisieren
• Festlegen, wer Avro-Schemas veröffentlichen oder ändern darf, und generierten Code vor dem Import prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8j5c-xq6f-2c43 github.com
• Vendor release 0.70.6 github.com
• Fix commit referenced in CVE record github.com
• OSV entry CVE-2026-108384 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:44.