thumbnail Python-Paket: OS-Command-Injection in generate_thumbnail

Zusammenfassung

Das Python-Paket thumbnail bis Version 1.5 enthält eine OS-Command-Injection-Schwachstelle in generate_thumbnail(). Shell-Metazeichen in Dateipfaden oder Optionswerten werden an os.system()-Aufrufe für ffmpeg, convert oder unoconv übergeben, sodass ein Angreifer, der einen Dateinamen kontrolliert, etwa bei einer hochgeladenen Datei, beliebige Befehle mit den Rechten des Python-Prozesses ausführen kann. Ein öffentlicher Proof of Concept existiert, und CISA SSVC bewertet die Ausnutzung als PoC mit automatisierbarer Ausnutzung und totaler technischer Auswirkung.

Betroffen

• Python-Paket thumbnail, Versionen 0 bis 1.5 (einschliesslich 1.5)

Behoben in

• Unbekannt. Es wurde noch keine korrigierte Version veröffentlicht. Ein vorgeschlagener Fix (GitHub Pull Request #9) ist offen und nicht zusammengeführt.

Umgehung

• Benutzerdefinierte Dateinamen oder Pfade nicht an generate_thumbnail() übergeben; Uploads vor der Verarbeitung in serverseitig generierte Namen umbenennen.
• Eingabe- und Optionswerte mit Shell-Metazeichen zurückweisen.
• Thumbnail-Erstellung in einem isolierten Container oder einer Sandbox mit unprivilegiertem Benutzer, ohne Netzwerkzugriff und mit schreibgeschütztem Dateisystem ausser einem temporären Verzeichnis ausführen.
• Paket entfernen, falls es nicht benötigt wird, oder durch eigenen, auf subprocess basierenden Code ersetzen.

Ausnutzung

• Öffentlicher Proof of Concept: Ja (Reproduktion im Pull Request; hier nicht wiedergegeben).
• Bekannte Ausnutzung in freier Wildbahn: Keine gemeldet.
• CISA KEV: Gemäss verfügbaren Quellen nicht gelistet (nicht direkt überprüft).
• CISA SSVC: Ausnutzung poc, automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob interne oder kundenseitige Python-Anwendungen das Paket thumbnail importieren (z. B. mit pip freeze oder einem Software-Inventar).
• Internetseitige Upload-Funktionen, die es verwenden, als dringend behandeln und die oben genannten Massnahmen umsetzen.
• Upstream-Repository und PyPI auf eine korrigierte Version überwachen und diese nach Veröffentlichung zeitnah einspielen.
• Protokolle der Uploads und der Thumbnail-Verarbeitung auf ungewöhnliche Dateinamen oder unerwartete Kindprozesse prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• GitHub pull request #9 (proposed fix, not merged) github.com
• Vulnerable source file thumbnail.py github.com
• VulDB entry vuldb.com
• Mend via Vulners vulners.com
• Strix CVE summary www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:03.