Mandiant FLARE floss: Deserialisierung nicht vertrauenswürdiger Daten ermöglicht Codeausführung
Zusammenfassung
Mandiant FLARE floss vor 3.2.0 deserialisiert nicht vertrauenswürdige Python-Pickle-Daten aus Vivisect-Workspace-Dateien. Ein manipulierter zwischengespeicherter Workspace (<sample>.viv oder .exe.viv) oder eine manipulierte .viv-Datei kann beliebigen Code ausführen, wenn ein Analyst floss darauf ausführt. Voraussetzung ist, dass das Opfer lokal dazu gebracht wird, eine bösartige Probe oder einen bösartigen Workspace zu analysieren; die Schwachstelle ist nicht aus der Ferne ausnutzbar.
Betroffen
- Mandiant FLARE floss vor 3.2.0 (CVE-Eintrag)
- Die Release Notes nennen v3.1.1 und frühere sowie die QUANTUMSTRAND-Vorabversionen als betroffen; alle Versionen vor 3.2.0 als betroffen behandeln
Behoben in
- Auf floss 3.2.0 oder neuer aktualisieren (veröffentlicht am 16. Okt. 2026)
- Version 3.2.0 verarbeitet Proben nur noch als PE oder ELF und lädt einen vorhandenen .viv-Workspace nur, wenn FLOSS_LOAD_VIV_WORKSPACE=1 gesetzt ist
Umgehung
- Kein Workaround des Herstellers bekannt; das Aktualisieren ist die Behebung
- Die Variable FLOSS_LOAD_VIV_WORKSPACE nicht setzen (dokumentierter Standard: deaktiviert)
- Keine .viv-Dateien oder Proben analysieren, die neben unbekannten .viv-Dateien liegen
Ausnutzung
- Keine bekannte Ausnutzung gefunden; CISA SSVC: Ausnutzung keine, nicht automatisierbar
- Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept gefunden
- CVSS 4.0 Bewertung 8.7 (AV:L/AC:H/AT:P/PR:N/UI:A); NVD-Analyse ausstehend
Unsere Empfehlung
- Analyse-Arbeitsstationen und Analyse-VMs auf floss 3.2.0 oder neuer aktualisieren
- Schadsoftware nur in isolierten VMs analysieren
- Alte oder nicht vertrauenswürdige .viv-Workspace-Dateien löschen
- Prüfen, ob Ihr Team oder Ihr MSSP floss einsetzt; keine Massnahme nötig, falls nicht
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MNDT-2026-0036 Mandiant advisory github.com
- floss 3.2.0 release github.com
- floss releases github.com
- floss usage documentation github.com
- CVE-2026-114198 on threatint cve.threatint.com
- CVE-2026-114198 on Strix www.strix.ai
- CVE-2026-114198 on HOL Guard hol.org
- CVE-2026-114198 on OpenCVE app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.