virtualenv: Befehlsausführung über Umgebungsname im bash-Aktivierungsskript
Zusammenfassung
virtualenv-Versionen vor 21.14.7 maskieren den Umgebungsnamen nicht korrekt für beide Durchläufe, die bash über die Prompt-Variable PS1 ausführt. Ein präparierter Name mit einem Backslash gefolgt von $(...) oder Backticks wird bei jeder Anzeige des Prompts als Befehl ausgeführt. Ein Angreifer, der einen Benutzer dazu bringt, eine präparierte virtuelle Umgebung zu aktivieren, etwa aus einem nicht vertrauenswürdigen Repository oder einem gemeinsamen Ordner, kann Befehle mit den Rechten dieses Benutzers ausführen, solange die Shell offen bleibt.
Betroffen
- virtualenv vor 21.14.7 (PyPI-Paket virtualenv, pypa/virtualenv)
- Nur das bash-Aktivierungsskript
Behoben in
- 21.14.7 (Fix im Commit c3104e0)
- 21.14.9 ist die neuere Version und behebt zusätzlich weitere Probleme im Aktivierungsskript
Umgehung
- VIRTUAL_ENV_DISABLE_PROMPT=1 setzen, bevor das Aktivierungsskript eingelesen wird (nur temporäre Massnahme)
- Nur Umgebungen aktivieren, die Sie selbst erstellt haben oder deren Namen Sie geprüft haben
Ausnutzung
- Es wurden keine Berichte über eine Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS 0.00193 (niedrig).
- Das Advisory enthält ein Reproduktionsbeispiel; es wird hier nicht wiedergegeben.
Unsere Empfehlung
- Alle virtualenv-Installationen und Versions-Pins finden (Requirements-Dateien, poetry.lock, uv.lock, CI-Images) und auf 21.14.9 oder neuer aktualisieren.
- Entwickler anweisen, keine nicht vertrauenswürdigen virtuellen Umgebungen zu aktivieren, bis das Update eingespielt ist.
- Die Massnahme auf Systemen anwenden, die nicht sofort gepatcht werden können.
- Entwickler-Arbeitsplätze und CI/Build-Runner priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vxj4-q4g9-crj7 github.com
- Fix commit c3104e0 github.com
- virtualenv release 21.14.7 github.com
- OSV BIT-virtualenv-2026-113725 osv.dev
- OSV GHSA-vxj4-q4g9-crj7 osv.dev
- virtualenv changelog virtualenv.pypa.io
- PyPI virtualenv 21.14.7 pypi.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.