2026-0414: Python: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2026-02-04 11:54): Neues Advisory
Version 2 (2026-02-06 10:47): Für Red Hat Enterprise Linux for x86_64 / ARM 64 in Version 8 (x86_64, aarch64) stehen Sicherheitsupdates für 'python3' bereit, um die vier Schwachstellen zu beheben. Und für Oracle Linux in Version 8 (x86_64, aarch64) stehen zu RHSA-2026:2128 korrespondierende Sicherheitsupdates für 'python3' bereit, um die vier Schwachstellen zu beheben.
Version 3 (2026-02-20 07:44): Für Fedora 42 und 43 steht das Paket 'python3.9-3.9.25-6' im Status 'testing' bereit, um die vier Schwachstellen zu beheben.
Version 4 (2026-02-27 08:07): Für Fedora 42 und 43 stehen die Pakete 'python3.10-3.10.19-4', 'python3.11-3.11.14-5' und 'python3.12-3.12.12-4' im Status 'testing' bereit, um die vier Schwachstellen zu beheben.
Version 5 (2026-03-12 15:35): Für Red Hat CodeReady Linux Builder for x86_64 / ARM 64 in Version 8 (x86_64, aarch64) sowie Red Hat Enterprise Linux for x86_64 / ARM 64 in Version 8 (x86_64, aarch64) stehen Sicherheitsupdates für 'python3.12' bereit, um vier Schwachstellen zu beheben.
Version 6 (2026-03-13 08:18): Für Red Hat CodeReady Linux Builder for x86_64 / ARM 64 in Version 8 (x86_64, aarch64) sowie Red Hat Enterprise Linux for x86_64 / ARM 64 in Version 8 (x86_64, aarch64) stehen Sicherheitsupdates für 'python3.11' bereit, um vier Schwachstellen zu beheben. Oracle veröffentlicht korrespondierend Sicherheitsupdates für Oracle Linux 8 (x86_64, aarch64) für 'python3.11' und 'python3.12', um alle referenzierten Schwachstellen zu beheben. Zusätzlich stehen Sicherheitsupdates für Oracle Linux 9 (x86_64, aarch64) für 'python3.11' bereit, um drei der aufgeführten Schwachstellen (CVE-2026-0865 wird nicht adressiert) zu beheben.
Version 7 (2026-03-17 14:50): Für Red Hat CodeReady Linux Builder for x86_64 / ARM 64 in Version 10 (x86_64, aarch64) sowie Red Hat Enterprise Linux for x86_64 / ARM 64 in Version 10 (x86_64, aarch64) stehen Sicherheitsupdates für 'python3.12' bereit, um die vier Schwachstellen zu beheben.
Version 8 (2026-03-18 10:47): Für Oracle Linux in Version 10 (x86_64, aarch64) stehen zu RHSA-2026:4713 korrespondierende Sicherheitsupdates für 'python3.12' bereit, um die vier Schwachstellen zu beheben.
Version 9 (2026-04-01 10:38): Für Red Hat CodeReady Linux Builder for x86_64 / ARM 64 in Version Extended Update Support 9.4 (x86_64, aarch64), Red Hat Enterprise Linux for x86_64 / ARM 64 in den Versionen 4 years of updates 9.4 (aarch64), Extended Life Cycle 9.4 (x86_64, aarch64) und Extended Update Support 9.4 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server in Version AUS 9.4 (x86_64) stehen Sicherheitsupdates für 'python3.11' bereit, um die vier Schwachstellen zu beheben.

Betroffene Software

Entwicklung

Betroffene Plattformen

Linux
Oracle

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Eine Schwachstelle erfordert die Interaktion eines Benutzers.

Für Fedora 42 und 43 steht das Paket 'python3.6-3.6.15-52' im Status 'testing' bereit, um vier Schwachstellen zu beheben.

Schwachstellen:

CVE-2025-15366

Schwachstelle in Python ermöglicht Ausführen beliebigen Programmcodes

CVE-2025-15367

Schwachstelle in Python ermöglicht Ausführen beliebigen Programmcodes

CVE-2026-0865

Schwachstelle in Python ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2026-1299