CPython (Lib/tarfile.py - filter='data') Le score CVSS v3.1 évalue CVE-2026-11940 à 7.5 (HIGH, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N). Le score opérationnel Hermes s'établit à 86 (HIGH) en raison de l'exposition critique de l'écosystème Python dans les pipelines de données et d'IA.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in CPython Interpreter & Standard Library documented in Hermes dossier.”
Le composant CPython (Lib/tarfile.py - filter='data') intervient au cœur des runtimes applicatifs, des microservices et des chaînes de traitement de données sous Python.
| Paramètre | Spécification technique | Contexte threat intelligence |
|---|---|---|
| Identifiant CVE | CVE-2026-11940 | Bulletin officiel de sécurité amont |
| Produit affecté | python:cpython | Écosystème logiciel Python |
| Composant vulnérable | CPython (Lib/tarfile.py - filter='data') | Bibliothèque standard / Outil de packaging |
| Classe de faiblesse | CWE-22: Improper Limitation of a Pathname to a Restricted Directory | Faiblesse d’exécution / Gestion des ressources |
| Score CVSS v3.1 | 7.5 (HIGH / Score Hermes 86) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
| Version corrigée | 3.13.15 | Correctif officiel amont |
| Techniques MITRE ATT&CK | T1036.005 - Masquerading: Match Legitimate Name or Location, T1203 - Exploitation for Client Execution | Exécution de code / Déni de service |
| Référence forensique | Vérification d’intégrité et arborescence de fichiers Linux | Analyse mémoire et diagnostic des processus |
L’examen du code source incriminé met en évidence la faille logique ou l’absence de vérification d’encadrement :
# Flaw in Lib/tarfile.py (data_filter)def data_filter(member, dest_path): if member.islnk(): # VULNERABILITY: Resolves link target relative to member.linkname # without verifying if link target is shallower than the original symlink target_path = os.path.join(dest_path, member.linkname) if not _is_subpath(target_path, dest_path): raise FilterError("Hardlink escapes destination") # Hardlink referencing a symlink '../' bypasses destination confinement! return memberLorsque des entrées non fiables atteignent cette routine, le comportement du programme diverge des invariants de sécurité attendus, provoquant une saturation de ressources ou une manipulation de pointeurs en mémoire.
tarfile.extractall(path='/tmp/build', filter='data').CPython (Lib/tarfile.py - filter='data').Les analystes de sécurité peuvent identifier les tentatives d’exploitation en corrélant les traces applicatives et les alertes du système d’exploitation.
Télémétrie des processus & crashs
Surveillez les journaux applicatifs à la recherche des motifs :
audit: type=1300 ... path="/etc/cron.d/" syscall=symlinkat success=yes comm="python3". Recherchez les pics anormaux de CPU ou les arrêts forcés par manque de mémoire (OOM).
Auditd & surveillance des appels
Déployez des règles d’audit pour tracer les créations de processus enfants ou les écritures anormales. Consultez Vérification d’intégrité et arborescence de fichiers Linux.
title: Suspicious Symlink Creation Outside Tarfile Extraction Root (FR)id: cve-2026-11940status: experimentaldescription: Détecte les anomalies de crash ou d'exécution associées à CVE-2026-11940.logsource: category: process_creation product: linuxdetection: selection: - 'audit:' - 'cpython' condition: selectionfields: - CommandLine - Userlevel: high# Surveillance par tracepoint eBPF des exécutions sous python:cpythonsudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve /comm == "python3"/ { printf("PID %d a lancé: %s\n", pid, str(args->filename));}'La sécurisation des environnements applicatifs repose sur le déploiement des correctifs et le durcissement du traitement des données :
python:cpython vers la version 3.13.15 ou ultérieure via votre gestionnaire de paquets ou vos fichiers de dépendances (requirements.txt, Pipfile, pyproject.toml).pickle au profit de formats sécurisés tels que JSON ou safetensors.