Groźna 15-letnia podatność w Pythonie wciąż bez łatki

Wystarczy dopisać dwie kropki do nazwy archiwum TAR, by doprowadzić choćby do zdalnego wykonania kodu we wszystkich wersjach Pythona.

Niedobre wieści płyną do nas z Trellix Advanced Research Center. Analitycy tej firmy odnaleźli w Pythonie nowy wariant podatności CVE-2007-4559, która sklasyfikowana jest według CVSS 2.0 „tylko” jako średnio groźna (6,8), ale nie to budzi największe obawy. Znaczie poważniejszy problem stanowi to, iż luka od 15 lat pozostaje niezałatana i wykorzystać można ją w przypadku ok. 350 tys. pythonowych projektów dostępnych na GitHubie.

15-letnia groźna luka w PythonieCVE-2007-4559 to podatność typu Path Traversal, a zatem umożliwia napastnikowi uzyskanie nieautoryzowanego dostępu do plików i katalogów. Konkretniej rzecz ujmując, za sprawą nieodpowiedniego działania funkcji extract i exctractall w module pozwalającym na obsługę plików TAR (paczka tarfile), atakujący może nadpisać dowolny plik. Jedyne co musi zrobić, to dopisać dwie kropki do nazwy archiwum.