CVE-2022-36069
Açıklama
Poetry, Python için bir bağımlılık yöneticisidir. Bir kayıt defteri yerine Git deposundan gelen bağımlılıklar işlenirken Poetry, `git clone` gibi çeşitli komutlar kullanır. Bu komutlar kullanıcı girdileriyle (örneğin depo URL'si) oluşturulur. Komutları oluştururken Poetry, bir komut dizisi yerine bir argüman dizisi geçirerek Komut Enjeksiyonu zafiyetlerinden doğru şekilde kaçınır. Ancak, bir kullanıcı girdisinin tire (`-`) ile başlama ve bu nedenle konumsal bir argüman yerine isteğe bağlı bir argüman olarak değerlendirilme olasılığı vardır. Bazı komutların rastgele yürütülebilir dosyaları çalıştırmak için kullanılabilecek seçenekleri olması nedeniyle bu durum Kod Çalıştırmaya yol açabilir. Eğer bir geliştirici istismar edilirse, saldırgan kimlik bilgilerini çalabilir veya erişimini kalıcı hale getirebilir. İstismar bir sunucuda gerçekleşirse, saldırganlar erişimlerini diğer dahili sistemlere saldırmak için kullanabilirler. Bu zafiyet önemli ölçüde kullanıcı etkileşimi gerektirdiğinden, uzaktan istismar edilebilir olanlar kadar tehlikeli değildir. Bununla birlikte, kurban dizinde mevcut olabilecek herhangi bir Git veya Poetry yapılandırma dosyasını inceleyerek hiçbir şeyin olmayacağından emin olmaya çalışsa bile istismar hala çalıştığı için, güvenli olduğunu düşündükleri bir şekilde güvenilmeyen dosyalarla uğraşan geliştiricileri riske atmaya devam eder. Sürüm 1.1.9 ve 1.2.0b1 bu sorun için yamalar içermektedir.
Nasıl düzeltilir
- python-poetry poetry1.1.9 ya da sonraki bir sürüm
- poetry1.1.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python-poetry poetry | v < 1.1.9, 1.2.0 | 1.1.9 |
| poetryPyPI | v < 1.1.9 | 1.1.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.