CPython ssl-Modul: Fehlende Ablehnung kompromittierter Zwischenzertifikate
Zusammenfassung
Python-Versionen vor den gefixten Releases im ssl-Modul akzeptieren TLS-Zertifikatsketten, die Zwischenzertifikate von eMudhra enthalten, deren private Schlüssel kompromittiert wurden. Ein Angreifer, der die TLS-Verbindung eines Python-Programms (zum Beispiel pip, ein Skript oder ein CI/CD-Job) abfangen oder umleiten kann und eine solche Kette präsentiert, könnte Websites oder Dienste imitieren. Python hat eine Denylist eingeführt, die diese Zertifikate unabhängig von der SSLContext-Konfiguration ablehnt; der CVSS-Wert 9.4 ist die Bewertung des CNA im ungünstigsten Fall.
Betroffen
- CPython 0 bis vor 3.11.18
- CPython 3.12.0 bis vor 3.12.16
- CPython 3.13.0 bis vor 3.13.18
- CPython 3.14.0 bis vor 3.14.10
- CPython 3.15.0 bis vor 3.15.2
- CPython 3.16.0a1 bis vor 3.16.0
Quelle: CVE-Eintrag von PSF. Einige Drittquellen nennen abweichende Bereiche; auf python.org prüfen.
Behoben in
- CPython 3.11.18
- CPython 3.12.16
- CPython 3.13.18
- CPython 3.14.10
- CPython 3.15.2
- CPython 3.16.0
Abgeleitet vom Ende der betroffenen Bereiche im CVE-Eintrag. Vor dem Rollout auf python.org prüfen.
Umgehung
- Den CA-Bundle und den Zertifikatsspeicher des Betriebssystems aktualisieren.
- certifi auf 2026.10.19 oder neuer und pip auf 26.2.2 oder neuer aktualisieren; pip vor 26.2.2 vertraut den kompromittierten Zwischenzertifikaten unabhängig vom Systemspeicher weiterhin.
- Gebündelte Trust Stores von Tools wie uv aktualisieren und Container-Images ohne Layer-Cache neu bauen.
Dies sind Übergangsmassnahmen; ein gepatchtes Python-Release ist die eigentliche Behebung.
Ausnutzung
- Laut einem Drittanbieter-Aggregator nicht im KEV-Katalog der CISA gelistet; auf cisa.gov gegenprüfen.
- Laut Aggregatoren ist kein öffentlicher Exploit-Code für diese CVE bestätigt.
- Unbekannt ist, ob Angreifer die zugrunde liegende Schlüsselkompromittierung in freier Wildbahn ausgenutzt haben.
Ein Angreifer muss die Netzwerkverbindung abfangen oder umleiten können.
Unsere Empfehlung
- Python-Interpreter, pip-Versionen, certifi-Versionen und Container-Images auf Entwickler-Arbeitsstationen, CI/CD-Runnern und Servern inventarisieren.
- Python auf die oben genannten gefixten Versionen aktualisieren und die Versionen auf python.org verifizieren.
- pip auf 26.2.2 oder neuer und certifi auf 2026.10.19 oder neuer aktualisieren.
- Container-Images neu bauen und prüfen, ob Build-Pipelines die aktualisierten Tools verwenden.
- Systeme priorisieren, die pip install ausführen oder Pakete über unvertrauenswürdige Netzwerke beziehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- oss-security: Go CA certificate removal thread (Openwall, 20 Oct 2026) www.openwall.com
- eMudhra Intermediate CA Compromise emudhra.we-have-a-problem.com
- Python security-announce post (24 Oct 2026) mail.python.org
- oss-security post (Openwall, 24 Oct 2026) www.openwall.com
- CPython pull request 160042 github.com
- CPython issue 160040 github.com
- CPython commit af52b41 (3.11 backport) github.com
- Brandefense: eMudhra CA key compromise and Python/uv containers brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:51.
Referenzen der NVD (18)
- http://www.openwall.com/lists/oss-security/2026/10/20/29
- https://emudhra.we-have-a-problem.com/
- https://github.com/python/cpython/commit/21a50891ab4be2e9955239e625ae2b40c6b1854d
- https://github.com/python/cpython/commit/36cd295f32fc9ba19399e01abee91231440a41dd
- https://github.com/python/cpython/commit/48d9b2712cd52206c7a5882d0fdca4863ed65e93
- https://github.com/python/cpython/commit/7dd8b4736a1419750b94a388e6d158be15836fe6
- https://github.com/python/cpython/commit/98f0e4ed349f370dc8a00366da1a9797e11c9ed5
- https://github.com/python/cpython/commit/a17d9ef549008133eadf20689b1f4787902efe5b
- https://github.com/python/cpython/commit/af52b41afa4330fb38583db553631baa2f122f90
- https://github.com/python/cpython/commit/c7fd7edf7e0d122a3973cf676fae21b6aaa650a8
- https://github.com/python/cpython/commit/e2a9dd97ef9571c710ac0afaa834c8879aebce78
- https://github.com/python/cpython/commit/e4500d8a437ee5b988a5410cb9b59d177aa01370
- https://github.com/python/cpython/commit/e4f63e65a93cf44c14274aa987e644b8c003625e
- https://github.com/python/cpython/commit/e9bf2cf84eebf838a1edaa1c648c2b36345b99d3
- https://github.com/python/cpython/issues/160040
- https://github.com/python/cpython/pull/160042
- https://mail.python.org/archives/list/security-announce@python.org/thread/FNAJMZV6XQYLVPABNINDMF3VF66AYLW4/
- http://www.openwall.com/lists/oss-security/2026/10/24/5
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.