PyPA virtualenv: Command Injection über fish-Aktivierungsskript
Zusammenfassung
virtualenv erstellt isolierte Python-Umgebungen. Vor Version 21.14.2 maskiert das fish-Aktivierungsskript (activate.fish) Pfade und Prompt-Werte mit einer POSIX-Quotierung, die fish nicht gleich interpretiert. Ein Backslash vor einem einfachen Anführungszeichen im Umgebungspfad, in der Option --prompt oder im Wert von VIRTUALENV_PROMPT kann die Zeichenkette vorzeitig beenden und beim Einlesen von activate.fish durch einen Benutzer vom Angreifer gewählte Befehle ausführen. Der Angriff setzt voraus, dass ein Benutzer ein manipuliertes Aktivierungsskript einliest, weshalb das Risiko hauptsächlich Entwickler und CI-Runner mit fish betrifft.
Betroffen
- virtualenv-Versionen vor 21.14.2 (alle Releases bis einschliesslich 21.14.1, die activate.fish enthalten)
Behoben in
- Behoben in virtualenv 21.14.2 (Fix-Commit 3bddeaf8d02c3ee7f576503efb082f8f494cfcab)
- Neuere Releases sind verfügbar und enthalten weitere Fixes; das neueste Release ist das empfohlene Ziel
Umgehung
- Keine Umgebungen erstellen, deren Pfad oder Prompt einen Backslash enthält
- activate.fish lesen, bevor eine nicht selbst erstellte Umgebung eingelesen wird
- Im CVE-Eintrag ist kein Workaround des Herstellers dokumentiert
Ausnutzung
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden (CISA KEV nicht geprüft)
- Das Advisory beschreibt einen Reproduktionsfall; kein separates öffentliches Exploit-Projekt gefunden
- EPSS etwa 0,002 zum Zeitpunkt der geprüften Quellen
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- virtualenv auf das neueste verfügbare Release aktualisieren, mindestens auf 21.14.2, im Rahmen der regulären Abhängigkeitsupdates
- Entwickler-Rechner und Build-Hosts priorisieren, die fish verwenden und mit Drittanbieter-Repositories arbeiten
- Aktivierungsskripte aus nicht vertrauenswürdigen Umgebungen nicht einlesen
- Ausnutzungsstatus im CISA-KEV-Katalog prüfen, bevor dieser Eintrag geschlossen wird
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 3bddeaf github.com
- virtualenv release 21.14.2 github.com
- GitHub Security Advisory GHSA-c947-3pg5-gm8q github.com
- OSV GHSA-c947-3pg5-gm8q osv.dev
- virtualenv changelog virtualenv.pypa.io
- Vulners CVE-2026-113732 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.