CVE-2024-9287
ŚrednieStreszczenie
W CPython moduł venv i CLI nieprawidłowo cytują ścieżki podane podczas tworzenia wirtualnego środowiska. Pozwala to twórcy na wstrzyknięcie komend do skryptów aktywacyjnych (np. source venv/bin/activate), co umożliwia wykonanie dowolnego kodu przy aktywacji środowiska.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe polecenia do skryptów aktywacyjnych, które zostaną wykonane przy każdym uruchomieniu środowiska wirtualnego, co stanowi poważne ryzyko dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację CPython do wersji, w której poprawiono cytowanie ścieżek w venv, oraz unikanie tworzenia środowisk wirtualnych z niezaufanych ścieżek.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in the CPython `venv` module and CLI where path names provided when creating a virtual environment were not quoted properly, allowing the creator to inject commands into virtual environment "activation" scripts (ie "source venv/bin/activate"). This means that attacker-