CVE-2022-21668

Zusammenfassung

pipenv ist ein Python-Entwicklungsworkflow-Tool. Ab Version 2018.10.9 und vor Version 2022.1.8 ermöglicht ein Fehler in pipenvs Parsing von Requirements-Dateien einem Angreifer, eine speziell konstruierte Zeichenkette innerhalb eines Kommentars an beliebiger Stelle in einer requirements.txt-Datei einzufügen. Dadurch werden Opfer, die pipenv zum Installieren der Requirements-Datei verwenden, dazu veranlasst, Abhängigkeiten von einem vom Angreifer kontrollierten Paketindex-Server herunterzuladen. Durch das Einbetten von bösartigem Code in Pakete, die von ihrem bösartigen Index-Server bereitgestellt werden, kann der Angreifer beliebige Remote-Codeausführung (RCE) auf den Systemen der Opfer auslösen. Wenn ein Angreifer in der Lage ist, eine bösartige `--index-url`-Option in einer Requirements-Datei zu verstecken, die ein Opfer mit pipenv installiert, kann der Angreifer beliebigen bösartigen Code in Paketen einbetten, die von ihrem bösartigen Index-Server bereitgestellt werden und während der Installation auf dem Host des Opfers ausgeführt werden (Remote-Codeausführung/RCE). Wenn pip aus einer Source-Distribution installiert, wird jeder Code in der setup.py vom Installationsprozess ausgeführt. Dieses Problem ist in Version 2022.1.8 behoben. Das GitHub Security Advisory enthält weitere Informationen zu dieser Schwachstelle.

• CVE-2022-21668-Pipenv-RCE-vulnerabilityForschung

  Detaillierte Analyse von CVE-2022-21668, einer kritischen RCE-Sicherheitslücke in der requirements.txt-Analyse von Pipenv, einschließlich Bugcode, Exploit-Mechanismen und Fix-Validierung.