15年历史的Python 漏洞复活，影响35万个项目

威胁检测和响应公司 Trellix 的研究人员发现了一个存在 15 年之久的 Python 漏洞，表明它比最初认为的更严重，并且可能影响数十万个应用程序。有问题的漏洞是 CVE-2007-4559，最初被描述为 Python 的“tarfile”模块中的目录遍历漏洞，该漏洞可能允许攻击者通过说服用户处理特制的 tar 档案来远程覆盖任意文件。

创新互联建站专注于企业成都全网营销推广、网站重做改版、册亨网站定制设计、自适应品牌网站建设、HTML5、购物商城网站建设、集团公司官网建设、外贸网站建设、高端网站制作、响应式网页设计等建站业务，价格优惠性价比高，为册亨等各大城市提供网站开发制作服务。

该漏洞从未正确修补，而是警告用户不要打开来自不受信任来源的存档文件。通过对 GitHub 的标准公共访问，能够找到超过 300,000 个包含 Python 的 tarfile 模块的文件，平均 61% 的文件容易受到 2022 年 CVE-2007-4559 的攻击。联系 GitHub 以查看是否我们可以更全面地了解这个存在 15 年之久的漏洞的足迹。在 GitHub 的合作下，能够确定在大约 588,000 个独特的存储库中大约有 287 万个开源文件，其中包含 Python 的 tarfile 模块。由于数据集很大，目前正在处理结果，然而，目前存在 61% 的易受攻击实例，这使我们估计超过 350,000 个独特的开源存储库将容易受到这种攻击。这个开源代码库跨越了众多行业。这些行业的概述可以在下面的图表中看到，我们预计如果所有软件的数据都可用，它会更广泛。

Trellix 的研究人员现在表明，攻击者可以利用该漏洞编写任意文件，并在大多数情况下执行恶意代码。他们针对几个使用易受攻击的 Python 模块的流行应用程序证明了这一点，甚至展示了攻击者如何使用社会工程在具有管理员权限的目标系统上执行任意代码。

这家网络安全公司发布了一个名为Creosote的开源工具，可用于扫描项目中是否存在此 tarfile 漏洞。使用此工具，他们扫描了公共 GitHub 存储库并发现了 300,000 个包含 tarfile 模块的文件，其中大约 61%容易受到利用 CVE-2007-4559 的攻击。

在 GitHub 的帮助下，他们进行了更全面的扫描，在近 590,000 个独特的存储库中识别出 287 万个包含 tarfile 模块的开源文件。如果其中 61% 易受攻击，则受 CVE-2007-4559 影响的开源项目总数约为 350,000 个。其中包括开发、人工智能/机器学习、网络、数据科学、IT 管理和其他行业的组织制作的应用程序。

此外，研究人员指出，有问题的模块也存在于许多闭源项目中。

Trellix说：“这个漏洞非常容易利用，几乎不需要了解复杂的安全主题。由于这一事实以及该漏洞在野外普遍存在，Python 的 tarfile 模块已成为威胁全球基础设施的巨大供应链问题。”

网页题目：15年历史的Python 漏洞复活，影响35万个项目
本文网址：http://www.36103.cn/qtweb/news14/28364.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联