5.2 C
Czech
Středa 21. února 2024

15 let stará zranitelnost Pythonu potenciálně ovlivňuje více než 350 000 projektů

Zranitelnost v programovacím jazyce Python, která byla 15 let přehlížena, je nyní opět v centru pozornosti. Ovlivňuje více než 350 000 projektů a může vést ke vzdálenému spuštění kódu. Informoval o tom server The Hacker News.

Ovlivněné open source repositáře pokrývají řadu softwarového světa, jako je například umělá inteligence/strojové učení, vývoj webu, vývoj softwaru, bezpečnost a správa IT. Bezpečnostní problém, který byl odhalen v roce 2007, je označen jako CVE-2007-4559 a nikdy nebyl opraven. Jediným zmírněním je upozornění v dokumentaci pro vývojáře.

Zranitelnost je známá přes 15 let

Zranitelnost se nachází v balíčku tarfile v jazyce Python. A to v kódu, který používá nesanitizovanou funkci tarfile.extract() nebo vestavěné výchozí nastavení tarfile.extractall(). Jedná se o chybu procházení cest, která útočníkovi umožňuje přepsat libovolné soubory.

Technické podrobnosti k CVE-2007-4559 jsou k dispozici od prvního nahlášení v srpnu 2007. „Zranitelnost je v podstatě následující: Pokud zabalíte soubor /../../../../../../etc/passwd“ a pak ho správce rozbalí, /etc/passwd se přepíše,“ vysvětlil tehdy Matejek.

Začátkem tohoto roku při zkoumání jiného bezpečnostního problému byl CVE-2007-4559 znovu objeven výzkumníkem společnosti Trellix. „Nenapsání bezpečnostního kódu pro úpravu členských souborů před voláním tarfile.extract() nebo tarfile.extractall() má za následek zranitelnost typu directory traversal, která umožňuje přístup k souborovému systému.“ uvedl Charles McFarland, výzkumník zranitelností v týmu Trellix Advanced Threat Research.

Zjednodušeně řečeno, útočník může tuto slabinu zneužít nahráním škodlivého tar souboru. Ten dokáže uniknout z adresáře, do kterého má být extrahován, a dosáhnout spuštění kódu, což mu umožní potenciálně převzít kontrolu nad cílovým zařízením.

„Nikdy neextrahujte archivy z nedůvěryhodných zdrojů bez předchozí kontroly,“ píše se v dokumentaci jazyka Python k souboru tarfile. „Je možné, že soubory jsou vytvořeny mimo cestu, např. členy, které mají absolutní názvy začínající na ‚/‘ nebo názvy souborů se dvěma tečkami ‚..‘.“

Při analýze dopadu výzkumníci společnosti Trellix zjistili, že zranitelnost se vyskytuje v tisících softwarových projektech. Výzkumníci vybrali sadu 257 repositářů, u nichž je pravděpodobnější, že obsahují zranitelný kód, a ručně zkontrolovali 175 z nich, zda jsou postiženy. Tím zjistili, že 61 % z nich je zranitelných.

Na základě 61% míry zranitelnosti ověřené ručně společnost Trellix se odhaduje, že existuje více než 350 000 zranitelných úložišť. Mnohé z nich využívají nástroje strojového učení (např. GitHub Copilot), které pomáhají vývojářům rychleji dokončit projekt.

Sledujte nás na sítích

Muž vyhrál s přítelkyní jednu miliardu liber, opustila ho i s výhrou

Britský pár Michael Cartlidge (39) a Charlotte Cox (37) je v válce o jackpot ve výši jedné miliardy liber. Dvojice si zakoupila stírací los společně, Charlotte si však uzmula výhru jen pro sebe a svého partnera opustila. Jako jedinou vítězku ji nakonec označila i samotná loterijní společnost.

Vědci objevili nejjasnější známý objekt ve vesmíru, je 17 miliardkrát větší než Slunce

Výzkumníci z Australské národní univerzity učinili přelomový objev – narazili na nejjasnější známý objekt ve vesmíru, masivní kvazar. Tento objekt byl odhalen během studia nejrychleji rostoucí černé díry, jaká byla kdy pozorována.

Kylian Mbappe se chystá na historický přestup do Realu Madrid, prohlásil, že chce opustit Paris Saint-Germain

Dlouho očekávaný přestup Kyliana Mbappého do Realu Madrid se zdá být na spadnutí, což znamená konec ságy, která poutala fotbalový svět poslední čtyři roky. Francouzský vítěz mistrovství světa, který původně odmítl přestup ke gigantům La Ligy v roce 2022, aby prodloužil smlouvu s Paris Saint-Germain, nyní veřejně vyjádřil svůj záměr klub na konci sezony opustit.

Tři znamení, že jako single vám bude lépe. Kdy nemá cenu vztah udržovat při životě

Stojíte na konci cesty, akorát si to ještě nedokážete připustit. Bojujete s vnitřní nespokojeností, ale ve vztahu jste příliš zacykleni. Nejste si jisti, zda je ten správný čas udělat krok do neznáma. Následující řádky vám rozhodnutí ulehčí.

Sezóna může začít. Triumph se pyšní novým modelem 1200 X 

Firma Triumph zařadila do svého portfolia model Scrambler 1200 X. Takhle motorka nás zaujme nejen vzhledem, ale také vlastnostmi. Jedná se o typický Scrambler v podání společnosti Triumph. To znamená, že se nám dostane prvotřídní kvality a také jisté dávky prestiže. Novinka navíc dostala několik úprav, které zpříjemňují jízdu na silnicích. Rok 2024 bude stát za to. 

DOPORUČUJEME

Modely iPhone 16 Pro nejspíše předčí standardní verzi pokročilými funkcemi

Při nadcházejícím představení nových modelů iPhonu společnosti Apple se očekává, že modely iPhone 16 Pro budou v centru pozornosti, zatímco standardní model iPhone 16 by mohl zůstat v pozadí. Tento trend může vyvolat obavy u těch, kteří nechtějí utrácet velké částky a doufají ve výrazný upgrade standardního modelu.

OpenAI představuje Sora, revoluční nástroj pro generování videí pomocí umělé inteligence

Společnost OpenAI, která stojí za vlivnými nástroji umělé inteligence ChatGPT a Dall-E, představila svou nejnovější inovaci – model pro generování videí s umělou inteligencí nazvaný Sora. Tento nový průlom v oblasti umělé inteligence má potenciál být tím dosud nejúžasnějším, ačkoli existuje mnoho nezodpovězených otázek ohledně jeho fungování.

Bose představuje Ultra Open: Sluchátka s novým designem a otevřeným poslechem

Společnost Bose přichází na trh s nejnovějšími sluchátky Ultra Open, která se od předchozích modelů s potlačením hluku liší tím, že propouštějí zvuky z vnějšího prostředí. Cena těchto sluchátek je stanovena na necelých devět tisíc korun a jejich design připomíná spíše šperk než technickou vychytávku. Sluchátka se přikládají k uchu a nezakrývají ho, což je evoluce technologie otevřeného zvuku Bose, známé již z dříve uvedených zvukových brýlí Frames.

Microsoft avizuje nový Xbox, slibuje významný technologický pokrok

Microsoft ve své nedávné „obchodní aktualizaci“ potvrdil, že některé exkluzivní hry pro Xbox budou dostupné i na PlayStation 5 a Nintendo Switch. Tímto krokem chtěl zmírnit obavy fanoušků o budoucnost Xboxu, zdůrazňující plány na novou generaci konzole, která by měla přinést největší technologický pokrok v historii hardwaru.

Společnost Apple představila funkce ochrany soukromí ve Vision Pro a visionOS

Společnost Apple nedávno poskytla podrobný přehled funkcí ochrany soukromí svých nově vydaných systémů Apple Vision Pro a visionOS. Zdůrazňuje, že jak hardware, tak software zařízení Vision Pro byly navrženy s prioritou na ochranu soukromí, což reflektuje specifické výzvy spojené s prostorovým výpočtem.

NEJNOVĚJŠÍ

Muž vyhrál s přítelkyní jednu miliardu liber, opustila ho i s výhrou

Britský pár Michael Cartlidge (39) a Charlotte Cox (37) je v válce o jackpot ve výši jedné miliardy liber. Dvojice si zakoupila stírací los společně, Charlotte si však uzmula výhru jen pro sebe a svého partnera opustila. Jako jedinou vítězku ji nakonec označila i samotná loterijní společnost.

Vědci objevili nejjasnější známý objekt ve vesmíru, je 17 miliardkrát větší než Slunce

Výzkumníci z Australské národní univerzity učinili přelomový objev – narazili na nejjasnější známý objekt ve vesmíru, masivní kvazar. Tento objekt byl odhalen během studia nejrychleji rostoucí černé díry, jaká byla kdy pozorována.

Kylian Mbappe se chystá na historický přestup do Realu Madrid, prohlásil, že chce opustit Paris Saint-Germain

Dlouho očekávaný přestup Kyliana Mbappého do Realu Madrid se zdá být na spadnutí, což znamená konec ságy, která poutala fotbalový svět poslední čtyři roky. Francouzský vítěz mistrovství světa, který původně odmítl přestup ke gigantům La Ligy v roce 2022, aby prodloužil smlouvu s Paris Saint-Germain, nyní veřejně vyjádřil svůj záměr klub na konci sezony opustit.

Tři znamení, že jako single vám bude lépe. Kdy nemá cenu vztah udržovat při životě

Stojíte na konci cesty, akorát si to ještě nedokážete připustit. Bojujete s vnitřní nespokojeností, ale ve vztahu jste příliš zacykleni. Nejste si jisti, zda je ten správný čas udělat krok do neznáma. Následující řádky vám rozhodnutí ulehčí.

Sezóna může začít. Triumph se pyšní novým modelem 1200 X 

Firma Triumph zařadila do svého portfolia model Scrambler 1200 X. Takhle motorka nás zaujme nejen vzhledem, ale také vlastnostmi. Jedná se o typický Scrambler v podání společnosti Triumph. To znamená, že se nám dostane prvotřídní kvality a také jisté dávky prestiže. Novinka navíc dostala několik úprav, které zpříjemňují jízdu na silnicích. Rok 2024 bude stát za to.