Mandiant FLARE capa: Deserialisierung nicht vertrauenswürdiger Daten ermöglicht Codeausführung
Zusammenfassung
capa, ein Open-Source-Werkzeug von Mandiant FLARE zur Identifikation von Fähigkeiten in ausführbaren Dateien, deserialisiert zwischengespeicherte Vivisect-Workspace-Dateien (.viv) ohne ausreichende Prüfung. Ein Angreifer, der eine manipulierte .viv-Datei oder einen manipulierten zwischengespeicherten Workspace neben einer Probe bereitstellt, kann Code auf dem System der Analystin oder des Analysten ausführen, die beziehungsweise der capa ausführt. Voraussetzung ist, dass das Opfer capa auf vom Angreifer bereitgestellte Dateien ausführt; die Schwachstelle ist mit hohem Schweregrad (CVSS v4.0 8.7) eingestuft, und es ist keine bekannte Ausnutzung bekannt.
Betroffen
- Mandiant FLARE capa, Versionen vor 10.0.0
Behoben in
- Auf capa 10.0.0 oder neuer aktualisieren
Umgehung
- Die Umgebungsvariable CAPA_LOAD_VIV_WORKSPACE nicht setzen (Herstelleränderung in 10.0.0: vorhandene Workspace-Dateien werden nur geladen, wenn sie auf 1 gesetzt ist)
- Keine Proben analysieren, die nicht vertrauenswürdige .viv-Dateien enthalten
- capa in einer isolierten Analyse-virtuellen Maschine ausführen
Ausnutzung
- CISA SSVC: Ausnutzung none, automatisierbar no
- Nicht als bekannt ausgenutzt gelistet
- Kein öffentlicher Proof of Concept gefunden; Status unbekannt statt bestätigt nicht vorhanden
Unsere Empfehlung
- Alle capa-Installationen finden, einschliesslich Python-Umgebungen, Skripte und portabler Kopien, und auf 10.0.0 oder neuer aktualisieren
- Bis zur Aktualisierung CAPA_LOAD_VIV_WORKSPACE nicht setzen und Proben mit beigelegten .viv-Dateien meiden
- Prüfen, ob das verwandte Werkzeug floss eingesetzt wird, und auf 3.2.0 oder neuer aktualisieren
- Herstellerwarnung und NVD erneut prüfen, sobald sie analysiert sind
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MNDT-2026-0035 Mandiant advisory github.com
- capa releases github.com
- OpenCVE CVE-2026-114197 app.opencve.io
- HOL Guard CVE-2026-114197 hol.org
- capa documentation mandiant.github.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.