Dulwich: Beliebiges Schreiben von Dateien über DOS-Laufwerksbuchstaben unter Windows
Zusammenfassung
Dulwich, eine Python-Bibliothek für Git, prüft Git-Tree-Einträge mit einem DOS-Laufwerksbuchstaben wie 'C:' unter Windows nicht korrekt. Ein bösartiges Repository kann dazu führen, dass Dulwich Dateien ausserhalb des Arbeitsverzeichnisses schreibt, zum Beispiel in Benutzerprofile oder Autostart-Ordner. Dies kann zur Remote Code Execution führen, sofern das Opfer das angreiferkontrollierte Repository auf einem Windows-System klont oder auscheckt.
Betroffen
- Dulwich-Versionen vor 1.2.9 unter Windows
- Linux- und macOS-Systeme sind von diesem Mechanismus nicht betroffen
Behoben in
- Dulwich 1.2.9
- Keine distributionsspezifische korrigierte Version bekannt; Ubuntu führt dulwich als 'Needs evaluation'.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround. Das Aktualisieren auf Dulwich 1.2.9 oder neuer ist die Abhilfe.
- Wenn ein Update noch nicht möglich ist, keine unbekannten Repositories auf Windows-Systemen oder CI-Runnern klonen oder auschecken.
Ausnutzung
- Bekanntermassen ausgenutzt: nein (kein Eintrag im CISA-KEV-Katalog gefunden, Stand 1. November 2026).
- Öffentlicher Proof of Concept: Der GHSA-Eintrag enthält einen Reproducer.
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: nein, technische Auswirkung: total.
Unsere Empfehlung
- Python-Umgebungen und Tools, die Dulwich enthalten, besonders auf Windows-Rechnern und Build-Agents, inventarisieren.
- Dulwich auf Version 1.2.9 oder neuer aktualisieren.
- Bis zur Aktualisierung keine unbekannten Repositories auf Windows-Systemen oder CI-Runnern klonen.
- Auf Windows-Systemen auf unerwartete Dateischreibvorgänge ausserhalb der Projektverzeichnisse achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-8mcx-5rqc-vhmf github.com
- VulnCheck advisory www.vulncheck.com
- OSV GHSA-8mcx-5rqc-vhmf osv.dev
- GitLab Advisory Database entry advisories.gitlab.com
- Ubuntu CVE tracker ubuntu.com
- OpenCVE CVE-2026-114094 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.