CVE-2021-3572 — Minimales Test-Repository für CVE-2021-3572, das eine pip-Abhängigkeitsverwechslungssicherheitslücke und deren Behebung über anfällige und gepatchte Versionen hinweg demonstriert. | Kitploit

Teilen

CVE-2021-3572

Dieses Repository ist zum Testen von CVE-2021-3572 in pypa/pip gedacht.

Weitere Informationen finden Sie in folgenden Quellen:

CVE-Seite: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3572
PR, in dem die Schwachstelle behoben wurde: https://github.com/pypa/pip/pull/9827
Issue mit weiterer Diskussion: https://github.com/pypa/pip/issues/10042

Siehe auch die Tags und die ersten beiden Commits in diesem Repository.

Testen

Die anfällige Version von pip (<21.1) installiert Version 9999.0, aber die behobene Version installiert die korrekte Version 1.0:

Anfällige Version

$ pip install "pip<21.1"
Successfully installed pip-21.0.1

$ pip install git+https://github.com/frenzymadness/CVE-2021-3572.git@original_version

$ pip list
Package       Version
------------- -------
cve-2021-3572 9999.0
pip           21.0.1
setuptools    56.2.0
wheel         0.36.2

Behobene Version

$ pip install -U pip
Successfully installed pip-21.1.2

$ pip install git+https://github.com/frenzymadness/CVE-2021-3572.git@original_version

$ pip list
Package       Version
------------- -------
cve-2021-3572 1.0
pip           21.1.2
setuptools    56.2.0
wheel         0.36.2