pymanager включил текущий рабочий каталог в sys.path, что означает, что модули могут быть затенены модулями в текущем рабочем каталоге. В результате, если пользователь выполняет команду, сгенерированную pymanager (например, pip, pytest) из каталога, контролируемого злоумышленником, вредоносный модуль в этом каталог можно импортировать и выполнить вместо предполагаемого пакета.
Показать оригинальное описание (EN)
pymanager included the current working directory in sys.path meaning modules could be shadowed by modules in the current working directory. As a result, if a user executes a pymanager-generated command (e.g., pip, pytest) from an attacker-controlled directory, a malicious module in that directory can be imported and executed instead of the intended package.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Активное
Нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Python Pymanager
cpe:2.3:a:python:pymanager:26.0:*:*:*:*:*:*:*
|
— | — |