Si ritiene che ben 350.000 progetti open source siano potenzialmente vulnerabili allo sfruttamento a causa di una falla di sicurezza in un modulo Python che è rimasto senza patch per 15 anni.
I repository open source coprono una serie di settori verticali, come sviluppo software, intelligenza artificiale/apprendimento automatico, sviluppo web, media, sicurezza e gestione IT. La falla, segnalata come CVE-2007-4559 (punteggio CVSS: 6,8), è radicata nel modulo tarfile, il cui sfruttamento potrebbe portare all’esecuzione di codice da una scrittura arbitraria di file. “La vulnerabilità è un attacco di tipo path traversal nelle funzioni extract e extractall del modulo tarfile, che consente a un utente malintenzionato di sovrascrivere file arbitrari aggiungendo la sequenza ‘..’ ai nomi dei file in un archivio TAR”, ha dichiarato Kasimir Schulz, ricercatore di sicurezza di Trellix, in un articolo.
Originariamente divulgato nell’agosto 2007, il bug riguarda il modo in cui un archivio tar appositamente creato può essere sfruttato per sovrascrivere file arbitrari su un computer di destinazione semplicemente aprendo il file. In parole povere, un attore di minacce può sfruttare la debolezza caricando un file tar dannoso in modo tale da poter sfuggire alla directory in cui un file è destinato a essere estratto e ottenere l’esecuzione di codice, consentendo all’avversario di prendere potenzialmente il controllo di un dispositivo di destinazione.
“Non estrarre mai archivi da fonti non attendibili senza un’ispezione preliminare”, si legge nella documentazione Python per tarfile. “È possibile che i file vengano creati al di fuori del percorso, ad esempio membri che hanno nomi di file assoluti che iniziano con ‘/’ o nomi di file con due punti ‘..'”. La vulnerabilità ricorda anche una falla di sicurezza recentemente divulgata nell’utility UnRAR di RARlab (CVE-2022-30333) che potrebbe portare all’esecuzione di codice remoto. Trellix ha inoltre rilasciato un’utility personalizzata chiamata Creosote per la scansione dei progetti vulnerabili a CVE-2007-4559, utilizzandola per scoprire la vulnerabilità nell’IDE Spyder Python e in Polemarch. “Se non controllata, questa vulnerabilità è stata involontariamente aggiunta a centinaia di migliaia di progetti open e closed-source in tutto il mondo, creando una notevole superficie di attacco alla catena di approvvigionamento del software”, ha osservato Douglas McKee.
