CVE-2022-21668

概要

pipenvはPython開発ワークフローツールです。バージョン2018.10.9以降、バージョン2022.1.8より前のバージョンにおいて、pipenvのrequirementsファイル解析の欠陥により、攻撃者がrequirements.txtファイル内の任意の場所のコメント内に特別に細工した文字列を挿入でき、これによりpipenvを使用してそのrequirementsファイルをインストールする被害者は、攻撃者が管理するパッケージインデックスサーバーから依存関係をダウンロードすることになります。攻撃者は、自身の悪意のあるインデックスサーバーから配信されるパッケージに悪意のあるコードを埋め込むことで、被害者のシステム上で任意のリモートコード実行（RCE）を引き起こす可能性があります。攻撃者が、被害者がpipenvでインストールするrequirementsファイル内に悪意のある`--index-url`オプションを隠すことができた場合、攻撃者は自身の悪意のあるインデックスサーバーから配信されるパッケージに任意の悪意のあるコードを埋め込むことができ、そのコードはインストール中に被害者のホスト上で実行されます（リモートコード実行/RCE）。pipがソース配布物からインストールする場合、setup.py内のコードはインストールプロセスによって実行されます。この問題はバージョン2022.1.8で修正されています。GitHub Security Advisoryには、この脆弱性に関する詳細情報が含まれています。

• CVE-2022-21668-Pipenv-RCE-vulnerability研究

  Pipenvのrequirements.txt解析における重大なRCE脆弱性CVE-2022-21668の詳細分析。バグコード、エクスプロイトの仕組み、修正の検証を含む。