Python schließt per Update kritische TLS-Lücke wegen eMudhra-Schlüsseln

Das Python-Team hat am Sonntag die beschleunigten Sicherheitsupdates Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 und 3.11.18 veröffentlicht. Hauptgrund sind kompromittierte Schlüssel mehrerer Zwischenzertifikate von eMudhra. Wer die betroffenen Versionen verwendet, sollte dringend aktualisieren, empfiehlt das Release-Team. Binäre Installer gibt es nur für 3.15.2 und 3.14.10, die übrigen drei Versionen erscheinen ausschließlich als Quellcode.

Laut Python-Blog schließen die Updates die Schwachstelle CVE-2026-115557 (CVSS 9.4). Mit den unsicheren eMudhra-Zwischenzertifikaten konnten Angreifer gültige Zertifikate für beliebige Domains ausstellen. Die privaten Schlüssel aller acht betroffenen CA-Zertifikate waren trivial zu erraten, einer lautete schlicht „4“. Das ssl-Modul lehnt Zertifikatsketten mit diesen Schlüsseln jetzt als letzte Absicherung ab.

Mit dem Python-Update ist auch pip vor Angriffen mit den betroffenen Schlüsseln geschützt, sogar wenn pip selbst noch nicht aktualisiert wurde. Geschützt ist damit ebenso das Aktualisieren von pip. Dennoch rät das Python-Team in einem Hinweis zum eMudhra-Vorfall zum Upgrade auf pip 26.2.2, certifi 2026.10.19 sowie uv 0.13.4 oder neuer.

Patches auch für tarfile und http.cookiejar

Alle fünf Python-Versionen erhalten neben dem eMudhra-Patch zwei weitere Sicherheits-Fixes. Der erste betrifft die Sicherheitslücke CVE-2026-114583 (CVSS 6.9) im tarfile-Modul. Mit präparierten Link-Einträgen in tar-Archiven ließ sich tarfile.tar_filter umgehen, sodass beim Entpacken mit filter="tar" Dateien außerhalb des Zielverzeichnisses landen konnten. Nach dem Update lehnt tar_filter() Link-Einträge ab, die das Zielverzeichnis selbst ersetzen.

Für http.cookiejar.DefaultCookiePolicy gibt es ebenfalls einen Sicherheits-Fix. Bei Cookies mit negativer Versionsnummer wurde bislang die Domain nicht geprüft, weshalb ein Server Cookies für fremde Domains setzen oder überschreiben konnte. Mit dem Update gelten solche Cookies als ungültig und werden ignoriert. Fremde Cookies auslesen konnte ein Server über die Lücke nicht.

Zusätzliche Sicherheits-Fixes für ältere Versionen

Python 3.13.18, 3.12.16 und 3.11.18 erhalten mit dem Update drei Fixes, die bereits Bestandteil von 3.15.1 und 3.14.9 sind. Das Update auf Expat 2.9.0 schließt die beiden Sicherheitslücken CVE-2026-77214 und CVE-2026-102633 im XML-Parser. Außerdem liest mimetypes unter Windows standardmäßig keine MIME-Typen mehr aus den Dateien der knownfiles-Liste ein, die andere Nutzer verändern können (CVE-2024-3220), und E-Mail-Header behalten beim Umbrechen ihre Anführungszeichen.

Einen gesonderten Sicherheits-Fix gibt es noch für Python 3.13.18 und 3.12.16, den die Versionen 3.15.0 und 3.14.9 bereits kennen. Beim Aufräumen von tempfile.TemporaryDirectory konnten Angreifer ein Unterverzeichnis während des Löschens durch einen symbolischen Link ersetzen und so Dateien außerhalb des Verzeichnisses löschen oder ihre Berechtigungen ändern.