mistune: Denial of Service durch Parsing mit quadratischer Laufzeit bei Links
Zusammenfassung
Der Python-Markdown-Parser mistune vor Version 3.3.0 enthält eine Schwachstelle mit algorithmischer Komplexität im Inline-Link-Parser. Ein nicht authentifizierter Angreifer, der Markdown an eine Anwendung senden kann, die diesen rendert, kann eine kleine Nutzlast mit langen Folgen nicht geschlossener '['-Zeichen senden. Die Rendering-Zeit wächst quadratisch; laut CVE-Beschreibung benötigt eine 16 KB grosse Eingabe über 30 Sekunden CPU-Zeit, was Rendering-Worker blockieren und den Dienst unverfügbar machen kann. Die Auswirkung beschränkt sich auf die Verfügbarkeit, und eine aktive Ausnutzung ist nicht bekannt.
Betroffen
- mistune 0 bis vor 3.3.0 (lepture mistune)
Behoben in
- mistune 3.3.0 (Herstellerkorrektur)
- Neueste 3.3.x-Version auf PyPI verwenden: CVE-2026-76098 betrifft Versionen ab 3.3.0 bis vor 3.3.3
Umgehung
- Kein Workaround des Herstellers bekannt.
- Die Grösse der zum Rendern akzeptierten Markdown-Eingabe begrenzen.
- Request-Timeouts und Worker-Recycling einsetzen, damit ein langsames Rendering den Pool nicht blockiert.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Keine bekannte Ausnutzung gefunden.
- Kein öffentlicher Proof of Concept gefunden; das Advisory beschreibt die Technik.
Unsere Empfehlung
- Python-Umgebungen und Lockfiles auf mistune prüfen, einschliesslich Jupyter- und nbconvert-Installationen.
- Auf die neueste mistune-3.3.x-Version aktualisieren, nicht nur auf 3.3.0.
- Öffentlich erreichbare oder benutzerseitige Markdown-Verarbeitung identifizieren und Grössenlimits sowie Timeouts setzen.
- CPU-Auslastung und Antwortzeiten der Worker überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-xrpv-r66x-8p7j github.com
- VulnCheck Advisory: Mistune before 3.3.0 Quadratic-Time DoS www.vulncheck.com
- Ubuntu Security Notice CVE-2026-115352 ubuntu.com
- HOL Guard: CVE-2026-115352 hol.org
- Cyberus Linux finding 2989 security.cyberus-linux.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.