CVE-2023-49797

PyInstaller, bir Python uygulamasını ve tüm bağımlılıklarını tek bir paket haline getirir. Ayrıcalıklı bir işlem olarak çalıştırılan PyInstaller ile oluşturulmuş bir uygulama, ayrıcalıksız bir saldırgan tarafından, normalde erişimi olmayan dosyaları silmeye zorlanabilir. Aşağıdaki koşulların **tamamı** karşılandığında kullanıcı etkilenir: 1. Kullanıcı, `matplotlib` veya `win32com` içeren bir uygulamayı çalıştırır. 2. Uygulama yönetici olarak (veya en azından saldırgandan daha yüksek yetkilere sahip bir kullanıcıyla) çalıştırılır. 3. Kullanıcının geçici dizini o belirli kullanıcıya kilitlenmemiştir (büyük olasılıkla `TMP`/`TEMP` ortam değişkenlerinin korumasız, rastgele ve varsayılan olmayan bir konumu göstermesi nedeniyle). Şunlardan biri gerçekleşmelidir: A. Saldırgan, geçici bir dosyanın bir sembolik bağlantı (symlink) ile değiştirilme zamanlamasını çok hassas bir şekilde ayarlayabilir. Bu değişim, tam olarak `shutil.rmtree()` fonksiyonunun yerleşik sembolik bağlantı kontrolü ile silme işlemi arasında gerçekleşmelidir. B: Uygulama, Dizin Bağlantısı (Directory Junction) bağlantılarına karşı koruması bulunmayan Python 3.7.x veya daha eski bir sürümle oluşturulmuştur. Zafiyet, `pyinstaller >= 5.13.1` sürümüne karşılık gelen PR #7827 ile giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.