CVE-2022-36070

Poetry Python üçün asılılıq meneceridir. Git repozitoriyasından gələn asılılıqları idarə etmək üçün Poetry müxtəlif əmrləri, məsələn, `git config` əmrini icra edir. Bu əmrlər icra edilən faylın mütləq yolu ilə deyil, sadəcə adı ilə çağırılır. Windows-un icra olunan faylların adlarını yollara çevirmə mexanizmi səbəbindən bu, etibarsız kodun icrasına səbəb ola bilər. Linux əsaslı əməliyyat sistemlərindən fərqli olaraq, Windows əvvəlcə cari kataloqda icra olunan faylı axtarır və daha sonra `PATH` mühit dəyişənində təyin edilmiş yolları yoxlayır. Bu zəiflik ixtiyari kodun icrasına (Arbitrary Code Execution), nəticədə isə sistemin ələ keçirilməsinə səbəb ola bilər. Əgər bir tərtibatçı hədəfə alınarsa, hücumçu giriş məlumatlarını oğurlaya və ya sistemdə qalıcı giriş təmin edə bilər. Eksployt serverdə baş verərsə, hücumçular bu girişdən digər daxili sistemlərə hücum etmək üçün istifadə edə bilərlər. Bu zəiflik kifayət qədər istifadəçi qarşılıqlılığı tələb etdiyi üçün uzaqdan istismar edilə bilən zəifliklər qədər təhlükəli deyil. Lakin, bu, tərtibatçıların təhlükəsiz olduğunu düşündükləri şəkildə etibarsız fayllarla işlədikdə onları risk altına salır. Qurban, kataloqda mövcud ola biləcək hər hansı Git və ya Poetry konfiqurasiya fayllarını yoxlamaqla özünü qoruya bilməz, çünki bu davranış sənədləşdirilməmişdir. Versiyalar 1.1.9 və 1.2.0b1 bu problem üçün düzəlişlər ehtiva edir.