Podatności pip

Podatność w pakiecie pip dla języka Python przed wersją 19.2 umożliwia przemieszczanie się po katalogach (directory traversal) podczas instalacji z podanego URL. Atakujący może wykorzystać nagłówek Content-Disposition zawierający '../' w nazwie pliku, co pozwala na nadpisanie plików, np. /root/.ssh/authorized_keys.

Podatność w pip przed wersją 23.3 pozwala na wstrzyknięcie dowolnych opcji konfiguracyjnych do wywołania 'hg clone' podczas instalacji pakietu z adresu URL Mercurial (hg+...). Atakujący może kontrolować konfigurację Mercuriala, modyfikując sposób i zakres klonowania repozytorium.

pip nieprawidłowo obsługuje podwójnie zakodowane adresy URL pakietów z indeksów, co pozwala na instalację plików w dowolnych lokalizacjach na dysku podczas instalowania wheeli. Luka wymaga pobrania lub zainstalowania pakietu ze złośliwego indeksu; same złośliwe pakiety nie wystarczą do jej wykorzystania.

W narzędziu pip, wpisy console_scripts i gui_scripts były traktowane jako ścieżki zamiast nazw plików, bez sanityzacji rozpoznanej absolutnej ścieżki do katalogu instalacji. Prowadziło to do instalowania punktów wejścia poza katalogiem instalacyjnym.