thefuck: Beliebige Codeausführung durch Laden von Drittanbieter-Regeln
Zusammenfassung
thefuck, ein Kommandozeilenwerkzeug zur Korrektur vorheriger Konsolenbefehle, lädt Drittanbieter-Regelpakete mit dem Namen thefuck_contrib_* aus jedem Eintrag von sys.path. Der Modulcode wird ausgeführt, bevor eine Aktivierungs- oder Deaktivierungseinstellung angewendet wird. Ein lokaler Benutzer, der in ein Python-Pfadverzeichnis schreiben kann, das vom Interpreter eines anderen Benutzers verwendet wird, kann dadurch Code in dessen thefuck-Aufruf ausführen. Der Angriff setzt lokalen Zugriff und Schreibrechte auf ein gemeinsam genutztes site-packages-Verzeichnis oder eine virtuelle Umgebung voraus; eine Netzwerkexponierung ist nicht bekannt.
Betroffen
- thefuck 3.32
- Andere Versionen: Unbekannt.
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung wurde kein Herstellerfix oder Release bestätigt; siehe nvbn/thefuck#1623 für einen Fix.
Umgehung
- thefuck nur auf Einzelbenutzersystemen oder mit Konten mit minimalen Rechten ausführen.
- thefuck nicht aus Verzeichnissen installieren oder ausführen, die von anderen Benutzern beschreibbar sind.
- thefuck aus gemeinsam genutzten virtuellen Umgebungen und Mehrbenutzersystemen entfernen, wenn es nicht benötigt wird.
- site-packages auf unerwartete thefuck_contrib_*-Verzeichnisse prüfen.
Ausnutzung
- Öffentlicher Proof of Concept verfügbar (CISA SSVC: Exploitation poc, Automatable no).
- Keine Ausnutzung in freier Wildbahn bekannt.
- Nicht in der CISA-KEV-Liste aufgeführt.
Unsere Empfehlung
- thefuck-Installationen inventarisieren (z. B. pip show thefuck, apt list --installed | grep thefuck).
- thefuck dort entfernen, wo es nicht benötigt wird, insbesondere auf gemeinsam genutzten Servern, Jump Hosts und Mehrbenutzer-Arbeitsstationen.
- Schreibzugriff auf Python-site-packages und virtuelle Umgebungen auf den jeweiligen Besitzer beschränken.
- Auf unerwartete thefuck_contrib_*-Pakete prüfen.
- Nach Veröffentlichung eine korrigierte Version installieren; nvbn/thefuck#1623 beobachten. Priorität: niedrig bis mittel.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Upstream issue nvbn/thefuck#1623 github.com
- REYu6 python-vuln report (proof of concept) github.com
- Ubuntu CVE tracker entry ubuntu.com
- OpenCVE CVE-2026-95168 app.opencve.io
- VulnRichment CVE-2026-95168 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.