Business Security

Python Sicherheitslücke gefährdet Open-Source-Projekte und Streaming Dienste

Die 15 Jahre alte Sicherheitslücke wurde von dem neu gegründeten Trellix Advanced Research Center in einem Python-Modul gefunden.

Foto: B_A / Pixabay

Die CVE-2007-4559 benannte Sicherheitslücke befindet sich in einem Standard-Modul für Tar-Dateien und ist somit in allen Projekten, die Python verwendet. Das betrifft Open-Source-Projekte, aber auch Dienste wie Netflix, AWS, Facebook und vielen weitere. Durch Ausnutzung der Sicherheitslücke können auf den betroffenen Systemen Dateien heruntergeladen, entpackt und Schadcode ausgeführt werden.

Möglich ist dies durch die beiden Funktionen tarfile.extract() und tarfile.extractall() bei den fehlende Sicherheitsmechanismen.

Das Tar-Datei-Modul ermöglicht es Entwicklern, Tar-Dateien zu lesen und zu verpacken. Dies ist eine UNIX-basierte Funktion zur Erstellung von Backups oder Software Verteilungen.

Der Sicherheitsforscher Kasimir Schulz sagt zu der Schwachstelle: „Diese Schwachstelle ist unglaublich einfach auszunutzen und erfordert wenig bis gar kein Wissen über komplizierte Sicherheitsthemen. Aufgrund dieser Tatsache und der Verbreitung der Schwachstelle in freier Wildbahn ist das Tarfile-Modul von Python zu einem massiven Problem in der Lieferkette geworden, das die Infrastruktur auf der ganzen Welt bedroht.“

Quelle:

https://nvd.nist.gov/vuln/detail/CVE-2007-4559

https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html

 

Zurück

Diesen Beitrag teilen
Weitere Meldungen zum Thema
oben