CVE-2020-5252

Python için komut satırı "safety" paketinin potansiyel bir güvenlik sorunu bulunmaktadır. Kötü niyetli kodların; diğer kötü niyetli veya güvenli olmayan paketleri gizleyerek veya karmaşıklaştırarak komut satırı Safety paketi tespit rutinlerini "zehirlemesine" (poison-pill) olanak tanıyan iki Python özelliği mevcuttur. Saldırının Safety aracının kendisini değil, mevcut bir Python durumunu kullanması nedeniyle bu zafiyet düşük şiddetli olarak değerlendirilmektedir. Bu durum şu koşullarda gerçekleşebilir: Güvenmediğiniz bir Python ortamında Safety çalıştırıyorsanız; bağımlılıklarınızın yüklü olduğu aynı Python ortamından Safety çalıştırıyorsanız; bağımlılık paketleri rastgele veya uygun doğrulama yapılmadan yükleniyorsa. Kullanıcılar aşağıdaki yöntemlerden herhangi birini uygulayarak bu sorunu hafifletebilirler: Docker yükleyip Safety Docker imajını çalıştırarak statik analiz gerçekleştirin: $ docker run --rm -it pyupio/safety check -r requirements.txt; requirements.txt dosyası gibi statik bir bağımlılıklar listesine karşı Safety'yi ayrı ve temiz bir Python ortamında çalıştırın; Safety'yi bir Sürekli Entegrasyon (CI) hattı üzerinden çalıştırın; Safety'yi kontrollü bir ortamda çalıştıran ve Python bağımlılıklarını kurulum gerektirmeden kontrol eden PyUp.io'yu kullanın; PyUp'ın Çevrimiçi Gereksinim Denetleyicisi'ni (Online Requirements Checker) kullanın.