CVE-2022-21668

Resumo

pipenv é uma ferramenta de fluxo de trabalho de desenvolvimento em Python. A partir da versão 2018.10.9 e antes da versão 2022.1.8, uma falha na análise de arquivos de requisitos do pipenv permite que um atacante insira uma string especialmente elaborada dentro de um comentário em qualquer lugar de um arquivo requirements.txt, o que fará com que as vítimas que usam pipenv para instalar o arquivo de requisitos baixem dependências de um servidor de índice de pacotes controlado pelo atacante. Ao incorporar código malicioso em pacotes servidos a partir do seu servidor de índice malicioso, o atacante pode acionar execução remota arbitrária de código (RCE) nos sistemas das vítimas. Se um atacante conseguir ocultar uma opção maliciosa `--index-url` em um arquivo de requisitos que uma vítima instala com pipenv, o atacante pode incorporar código malicioso arbitrário em pacotes servidos a partir do seu servidor de índice malicioso que será executado no host da vítima durante a instalação (execução remota de código/RCE). Quando o pip instala a partir de uma distribuição de código-fonte, qualquer código no setup.py é executado pelo processo de instalação. Este problema é corrigido na versão 2022.1.8. O GitHub Security Advisory contém mais informações sobre esta vulnerabilidade.

• CVE-2022-21668-Pipenv-RCE-vulnerabilityPesquisa

  Análise detalhada do CVE-2022-21668, uma vulnerabilidade crítica de RCE no parsing de requirements.txt do Pipenv, incluindo código do bug, mecânica de exploração e validação da correção.