CVE-2024-42992

Python Pip Pandas v2.2.2 è stato scoperto contenere una vulnerabilità di lettura arbitraria di file.

Pip Pandas (tutte le versioni) - <=2.2.2

Nella libreria "pandas" esiste una vulnerabilità di lettura arbitraria di file, che consente a un attaccante di leggere qualsiasi file nel filesystem senza restrizioni. Questa vulnerabilità permette l'accesso non autorizzato a file sensibili come "/etc/passwd".

La libreria pandas fornisce potenti capacità di manipolazione dei dati, inclusa la possibilità di leggere dati da vari formati di file. Tuttavia, manca di una restrizione sufficiente sul percorso del file fornito come input, permettendo a un utente malintenzionato di specificare e leggere file arbitrari. La vulnerabilità può essere dimostrata con il seguente frammento di codice:

import pandas as pd
# Attempt to read the /etc/passwd file
try:
# Use pandas to read the file, specifying the colon as a separator
  df = pd.read_csv('/etc/passwd', sep=':', header=None)
  print(df)
except Exception as e:
  print("Error occurred while reading the file:", e)

Questo codice tenta di leggere il file "/etc/passwd", un file importante nei sistemi basati su Unix che contiene informazioni sugli account utente. Se il codice viene eseguito con successo, stampa il contenuto di questo file sensibile.

In alcuni scenari di accesso online o locale, questo può essere riprodotto con successo. In alcuni ambienti online, come replyt.com, è particolarmente riproducibile.

Utilizzo (How to use)

python CVE-2024-42992.py