CVE-2022-21668

सारांश

pipenv एक Python डेवलपमेंट वर्कफ़्लो टूल है। संस्करण 2018.10.9 से शुरू होकर संस्करण 2022.1.8 से पहले तक, pipenv की requirements फ़ाइलों के पार्सिंग में एक खामी है जो एक हमलावर को requirements.txt फ़ाइल के भीतर कहीं भी एक कमेंट के अंदर एक विशेष रूप से तैयार किया गया स्ट्रिंग डालने की अनुमति देती है, जिससे जो पीड़ित pipenv का उपयोग करके requirements फ़ाइल इंस्टॉल करते हैं, वे हमलावर द्वारा नियंत्रित पैकेज इंडेक्स सर्वर से डिपेंडेंसी डाउनलोड करते हैं। अपने दुर्भावनापूर्ण इंडेक्स सर्वर से परोसे गए पैकेजों में दुर्भावनापूर्ण कोड एम्बेड करके, हमलावर पीड़ितों के सिस्टम पर मनमाना रिमोट कोड निष्पादन (RCE) ट्रिगर कर सकता है। यदि कोई हमलावर किसी requirements फ़ाइल में एक दुर्भावनापूर्ण `--index-url` विकल्प छिपाने में सक्षम है जिसे पीड़ित pipenv के साथ इंस्टॉल करता है, तो हमलावर अपने दुर्भावनापूर्ण इंडेक्स सर्वर से परोसे गए पैकेजों में मनमाना दुर्भावनापूर्ण कोड एम्बेड कर सकता है जो इंस्टॉलेशन के दौरान पीड़ित के होस्ट पर निष्पादित होगा (रिमोट कोड निष्पादन/RCE)। जब pip किसी सोर्स डिस्ट्रीब्यूशन से इंस्टॉल करता है, तो setup.py में मौजूद कोई भी कोड इंस्टॉल प्रक्रिया द्वारा निष्पादित किया जाता है। यह समस्या संस्करण 2022.1.8 में ठीक कर दी गई है। GitHub Security Advisory में इस कमजोरी के बारे में अधिक जानकारी है।

• CVE-2022-21668-Pipenv-RCE-vulnerabilityअनुसंधान

  विस्तृत विश्लेषण CVE-2022-21668 का, Pipenv के requirements.txt पार्सिंग में एक गंभीर RCE भेद्यता, जिसमें bug code, exploit mechanics, और fix validation शामिल हैं।