CVE-2015-8768
KrytyczneStreszczenie
Plik click/install.py w bibliotece click nie wymaga, aby pliki w archiwach tarball pakietu zaczynały się od './', co umożliwia zdalnym atakującym instalację alternatywnej polityki bezpieczeństwa i uzyskanie uprawnień za pomocą spreparowanego pakietu.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację biblioteki click do najnowszej wersji, która naprawia tę podatność oraz przegląd polityki bezpieczeństwa aplikacji korzystających z tej biblioteki.
Oryginalny opis (angielski, źródło NVD)
click/install.py in click does not require files in package filesystem tarballs to start with ./ (dot slash), which allows remote attackers to install an alternate security policy and gain privileges via a crafted package, as demonstrated by the test.mmrow app for Ubuntu phone.