2026-2303: pip: Mehrere Schwachstellen ermöglichen u. a. Denial-of-Service-Angriffe

Historie:

Version 1 (2026-05-29 11:30): Neues Advisory
Version 2 (2026-06-01 07:44): Mit der Behebung der Schwachstellen in pip durch USN-8344-1 wurde für Ubuntu 22.04 LTS, Ubuntu 24.04 LTS und Ubuntu 26.04 LTS durch die Patches für CVE-2025-66471 eine Regression eingeführt, weshalb diese vorläufig zurückgenommen wurden bis weitere Untersuchungen abgeschlossen sind.
Version 3 (2026-06-04 07:05): Die mit USN-8344-1 eingeführte Regression wird jetzt mit einem neuen Update komplett behoben.

Betroffene Software

Entwicklung

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um Denial-of-Service (DoS)-Angriffe durchzuführen. Zudem kann ein Angreifer eine Schwachstelle lokal ausnutzen, um Sicherheitsvorkehrungen zu umgehen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Eine Schwachstelle erfordert die Interaktion eines Benutzers.

Für Ubuntu 22.04 LTS, 24.04 LTS und 26.04 LTS stehen Sicherheitsupdates für 'python-pip' bereit, um drei Schwachstellen zu beheben.

Schwachstellen:

CVE-2024-35195

Schwachstelle in Python Requests ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2025-66418

Schwachstelle in urllib3 ermöglicht Denial-of-Service-Angriff

CVE-2025-66471