dataclasses-avroschema: Codeinjektion über ungeprüfte Avro-Enum-Symbole

Zusammenfassung

dataclasses-avroschema ist eine Python-Bibliothek, die Avro-Schemas aus Python-Klassen und Python-Code aus Avro-Schemas erzeugt. Enum-Symbole aus einem Schema werden ohne Prüfung als Python-Bezeichner für generierte Enum-Member verwendet. Ein Angreifer, der die Symbolnamen in einem vom Generator verarbeiteten Avro-Schema kontrolliert, kann Anweisungen in den generierten Code einschleusen, die beim Import des Moduls ausgeführt werden oder das Laden des Moduls verhindern. Das Problem betrifft die direkte Verwendung der Generator-Klassen; die Bibliothek ist kein Netzwerkdienst.

Betroffen

• dataclasses-avroschema ab 0.38.0 bis einschliesslich 0.70.5 (die Quellen widersprechen sich bei der unteren Grenze; das Advisory des Herstellers sollte geprüft werden)
• Mend nennt >=0.70.0 und <0.70.6; VulDB nennt bis 0.70.5

Behoben in

• Version 0.70.6 (prüft jedes Enum-Symbol als Bezeichner)
• Version 0.71.0 ist laut Snyk die aktuelle Version; auf PyPI prüfen

Umgehung

• Unbekannt. Der Hersteller dokumentiert keine Workaround; das Aktualisieren ist die Behebung.
• Bis zur Aktualisierung den Generator nicht auf Schemas aus nicht vertrauenswürdigen Quellen ausführen.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: nein, technische Auswirkung: total.
• VulDB meldet keinen verfügbaren Exploit; es wurde keine Ausnutzung in freier Wildbahn gefunden.
• EPSS: 0.00365 (Tenable).

Unsere Empfehlung

• Python-Umgebungen und CI-Images mit dataclasses-avroschema inventarisieren, einschliesslich transitiver Abhängigkeiten.
• Mindestens auf Version 0.70.6 aktualisieren; laut Snyk ist 0.71.0 die aktuelle Version.
• Generator-Läufe auf Schemas aus externen Quellen (Schema-Registries, Partner-Feeds, Benutzer-Uploads) einschränken oder prüfen.
• Generierten Python-Code vor dem Import prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 429f3d7 github.com
• Release 0.70.6 github.com
• GitHub Security Advisory GHSA-gw6w-pvv9-2fqc github.com
• OSV: CVE-2026-108385 osv.dev
• Mend vulnerability database: CVE-2026-108385 www.mend.io
• Tenable: CVE-2026-108385 www.tenable.com
• VulDB 417883 vuldb.com
• Snyk: dataclasses-avroschema security.snyk.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:44.