Aktualisieren Sie den UV Python-Paket-Installer umgehend auf Version 0.11.15 oder höher.
▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 8.8+16
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-114109, CVSS-Vektor AV:N/PR:N)+10
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
[UPDATE] [mittel] UV: Schwachstelle ermöglicht Manipulation von Dateien und potenziell Codeausführung
Eine kritische Schwachstelle in UV, einem Python-Paket-Installer, ermöglicht Angreifern die Manipulation von Dateien und potenziell die Ausführung von beliebigem Code. Betroffen sind alle Versionen unter 0.11.15 auf Linux, Windows und UNIX-Systemen. Nutzern wird dringend empfohlen, auf die neueste Version 0.11.15 zu aktualisieren, um die Sicherheitslücke zu schließen.
SecBoard-Einordnung
Realistisch schlimmster Fall: Der schlimmste Fall ist die vollständige Kompromittierung von Systemen durch die Ausführung von beliebigem Code, was zu Datenverlust, Systemausfällen oder der Installation weiterer Malware führen kann.
Key Facts
- CVSS
- 8.8 · HIGH
- EPSS
- 0.4%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- ja
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- disclosure@vulncheck.com
Betroffen
Organisationen, die den Python-Paket-Installer UV in Versionen unter 0.11.15 auf Linux-, Windows- oder UNIX-Systemen verwenden.
Prüfen
3- ▸Überprüfen Sie die installierte Version des UV Python-Paket-Installers auf allen Systemen.
- ▸Stellen Sie sicher, dass automatische Update-Mechanismen für Paket-Installer wie UV aktiviert sind.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie Systemprotokolle auf ungewöhnliche Dateiänderungen oder Codeausführungen, die mit UV in Verbindung stehen könnten.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Dateimanipulationen möglich sind.
- ▸Der genaue Angriffsvektor oder die Komplexität der Ausnutzung sind nicht detailliert.
- ▸Es gibt keine Informationen über bereits erfolgte Ausnutzungen der Schwachstelle.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„potenziell die Ausführung von beliebigem Code“
„Manipulation von Dateien“
„Manipulation von Dateien“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- [NEU] [mittel] IBM Sterling Connect:Direct: Schwachstelle ermöglicht Codeausführung
- [UPDATE] [mittel] UV: Schwachstelle ermöglicht Manipulation von Dateien und potenziell Codeausführung
- [NEU] [mittel] vim: Schwachstelle ermöglicht Codeausführung
- [NEU] [mittel] Palo Alto Networks Cortex XSOAR: Schwachstelle ermöglicht Codeausführung
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile