Activating a venv can execute shell commands from a directory name
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
調査の方向性
Read the linked fix d48cc82ed25e26b02eb97c6263d95dcaa1e9111b and the virtualenv advisory GHSA-8rjx-v5ww-45pp to understand the related behavior. Reproduce the issue on Linux by creating and activating a virtual environment inside a directory with a crafted name. Done means activation no longer executes a command from that directory name; the issue does not identify a file or test to start from.
索引モデルが issue の本文から書いたものです。
説明
Bug report
An attacker can name a directory in an archive so that activating a freshly created virtual environment inside it runs a command as the developer or build account. A similar issue was fixed a few years ago (https://github.com/python/cpython/commit/d48cc82ed25e26b02eb97c6263d95dcaa1e9111b) and virtualenv just had the equivalent bug fixed (https://github.com/pypa/virtualenv/security/advisories/GHSA-8rjx-v5ww-45pp).
CPython versions tested on:
CPython main branch
Operating systems tested on:
Linux
Linked PRs
- gh-160283
- 主要言語
- Python
- スター
- 77.7k
- フォーク
- 38.3k
- 平均マージ
- 14時間 29分
- マージ済み PR（30日）
- 699
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
python/cpython のほかの issue
-
topic-socket type-bug
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
python/cpython#160561 · コメント 7 件 ·
メンテナーはふだん 1 日以内に返信
-
tests topic-profiling type-bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
python/cpython#160334 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
extension-modules type-bug
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
メンテナーはふだん 1 日以内に返信
-
interpreter-core type-feature
難易度 1/5 1時間未満 初心者へのやさしさ 78/100
python/cpython#160109 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
extension-modules type-bug
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
python/cpython#160001 · コメント 3 件 ·
メンテナーはふだん 1 日以内に返信
似ている issue
-
link-rot
難易度 1/5 1時間未満 初心者へのやさしさ 67/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
developmentseed/titiler-cmr#265 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
Insecure Brotli version <1.2.1対応中かも @jamescw19 が今日担当しました。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 85/100
stac-utils/stac-fastapi-pgstac#438 · リアクション 1 件 ·
-
bug triage
難易度 2/5 1〜3時間 初心者へのやさしさ 66/100
メンテナーはふだん 1 日以内に返信