Kritische Sicherheitslücke in Python-Tarfile-Modul – CVE-2025-4517

Die Python Software Foundation warnt vor einer kritischen Sicherheitslücke (CVE-2025-4517) im beliebten tarfile-Modul. Bei der Nutzung von TarFile.extractall() oder TarFile.extract() mit dem Parameter filter="data" oder "tar" kann es zu Pfadmanipulationen (Path Traversal) kommen. Dadurch lassen sich Dateien außerhalb des Zielverzeichnisses schreiben – ein erhebliches Risiko beim Umgang mit nicht vertrauenswürdigen Tar-Archiven.

Besonders brisant: Ab Python 3.14 ist "data" der Standardwert für filter=, was das Risiko bei unüberwachter Nutzung erhöht. Die CVSS-Bewertung liegt bei 9.4 (kritisch).

Entwickler:innen sollten sicherstellen, dass Archive nur mit geeigneten Filtern und vertrauenswürdigen Quellen extrahiert werden. Weitere technische Details und Patches sind bereits im offiziellen Python-Repository verfügbar.

Mehr Informationen:

Tags :

Related Posts

Veaam Backup & Replication schließt gravierende Sicherheitslücke CVE-2025-23121

Am 17. Juni 2025 veröffentlichte Veeam ein wichtiges Sicherheitsupdate für Veeam Backup & Replication und den Veeam Agent for Microsoft Windows, mit dem mehrere kritische und hochriskante Schwachstellen behoben wurden. Diese Sicherheitslücken betreffen insbesondere Versionen bis einschließlich 12.3.1 (Backup & Replication) sowie Version 6.3.1 (Windows Agent). Das neue Update auf Veeam Backup & Replication 12.3.2 (Build 12.3.2.3617) und Veeam Agent for Microsoft Windows 6.3.2 (Build 6.3.2.1205) beseitigt sämtliche in diesem Zusammenhang gemeldeten Schwachstellen.

Read More

CVE-2025-47187: Kritische RCE Lücke in Mitel SIP Telefonen

Am 12. Mai 2025 hat InfoGuard Labs zwei kritische Sicherheitslücken in Mitel VoIP-Telefonen der Serien 6800, 6900 und 6900w – inklusive der 6970 Conference Unit – mit Firmwareversion R6.4.0.SP4 und älter entdeckt. Unter der Kennung CVE-2025-47188 erlaubt ein bislang unbemerkter unauthentifizierter Kommando-Injection-Fehler im CGI-Dienst auf Port 49249 Angreifern, beliebigen Shell-Code mit root-Rechten auszuführen. Parallel dazu ermöglicht CVE-2025-47187 das Hochladen von manipulierten .wav-Dateien ohne Authentisierung. In der MISA-2025-0004-Advisory hat Mitel bereits Gegenmaßnahmen und Updates angekündigt. Dank schneller Zusammenarbeit mit dem Mitel PSIRT konnten Details Ende Juni veröffentlicht werden; Anwender sollten ihre Telefone umgehend auf die neuesten Firmware-Releases aktualisieren, um unbefugten Zugriff zu unterbinden.

Read More

Kritische Sicherheitslücke CVE-2025-6218 in WinRAR ermöglicht Remote-Code-Ausführung

19. Juni 2025 – Sicherheitsforscher haben eine schwerwiegende Schwachstelle (CVE-2025-6218) in RARLAB WinRAR entdeckt, die Angreifern ermöglicht, beliebigen Code auszuführen. Die Schwachstelle erhielt einen CVSS-Score von 7.8.

Read More