pypa virtualenv: Codeausführung über Platzhalternamen in Aktivierungsskripten

Zusammenfassung

virtualenv-Versionen ab 20.26.6 bis vor 21.14.2 ersetzen Vorlagen-Platzhalter nacheinander, Schlüssel für Schlüssel. Enthält der Zielpfad oder der Wert von --prompt einen Platzhalternamen wie __VIRTUAL_NAME__, __VIRTUAL_ENV__ oder __VIRTUAL_PROMPT__, kann dieser Text bei einem späteren Ersetzungsdurchlauf umgeschrieben werden und die Quoting-Schutzmechanismen durchbrechen. Beim Aktivieren der Umgebung mit bash, fish, xonsh oder activate_this.py kann der restliche Pfad dann als Befehle ausgeführt werden. Der Angreifer muss den Pfad oder den Prompt beeinflussen können, und das Opfer muss die Umgebung aktivieren.

Betroffen

• virtualenv >= 20.26.6, < 21.14.2

Behoben in

• Behoben in virtualenv 21.14.2 (GitHub-Advisory GHSA-8rjx-v5ww-45pp)

Umgehung

• Keine Umgebungen erstellen, deren Pfad oder --prompt einen Platzhalternamen enthält (__VIRTUAL_NAME__, __VIRTUAL_ENV__, __VIRTUAL_PROMPT__, __VIRTUAL_PROMPT_DISPLAY_TCSH__).
• Das generierte Aktivierungsskript prüfen, bevor eine nicht selbst erstellte Umgebung eingebunden wird.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden; dieser Status ist unbekannt und nicht bestätigt abwesend.
• EPSS laut einem Spiegel etwa 0.00269.

Unsere Empfehlung

• virtualenv auf 21.14.2 oder neuer aktualisieren und Lockfiles sowie Tooling prüfen, da virtualenv oft als transitive Abhängigkeit vorkommt.
• Keine Umgebungen aktivieren, die aus unvertrauenswürdigen Pfaden, Namen oder Vorlagen erstellt wurden.
• Gemeinsam genutzte Build- und CI-Systeme, die Umgebungen aus extern gelieferten Namen erstellen, priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8rjx-v5ww-45pp github.com
• Fix commit 602b266 github.com
• virtualenv release 21.14.2 github.com
• OSV GHSA-8rjx-v5ww-45pp osv.dev
• virtualenv changelog virtualenv.pypa.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:23.