15-летний Python-баг позволяет выполнить код и затрагивает 350 000 проектов

15-летний Python-баг позволяет выполнить код и затрагивает 350 000 проектов

15-летний Python-баг позволяет выполнить код и затрагивает 350 000 проектов

Уязвимость Python-модуля tarfile за 15 лет никто так и не пропатчил. А меж тем она затрагивает более 350 тысяч репозиториев с открытым исходным кодом и позволяет выполнить произвольный код.

Впервые о проблеме стало известно в 2007 году, ей присвоили идентификатор CVE-2007-4559. Интересно, что никто не стал устранять брешь, единственное — разработчиков просто предупредили о риске.

Брешь затрагивает код, использующий функцию tarfile.extract(). Это классический баг обхода пути (path traversal), позволяющий условному атакующему перезаписывать произвольные файлы.

Удивительно, что за все 15 лет не было сообщений об эксплуатации уязвимости, учитывая, что технические детали были доступны в отчете 2007 года. Тем не менее баг представляет опасность для цепочек поставки софта по моей день.

На оставшуюся дыру обратили внимание специалисты компании Trellix, описывающие ее следующим образом:

«Уязвимость существует из-за того, что код в функции extract в Python-модуле tarfile доверяет информации в объекте TarInfo».

Сообщение на площадке баг-трекера Python гласит, что вопрос был закрыт, поскольку документацию обновили, добавив приписку, что «распаковывать архивы из непроверенных источников может быть опасно».

Проанализировав масштаб проблемы, специалисты Trellix пришли к выводу, что уязвимость затрагивает более 350 тысяч проектов. В отчете исследователей описываются простые шаги, которых достаточно для эксплуатации CVE-2007-4559 в Windows-версии Spyder IDE.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Windows 10 и 11 теряют Copilot после мартовского обновления

Microsoft предупредила пользователей о проблеме, связанной с мартовскими обновлениями Windows: помощник Copilot автоматом удаляется с некоторых компьютеров на Windows 10 и Windows 11.

Ошибка затрагивает устройства, на которых были установлены кумулятивные обновления KB5053598 (Windows 11 24H2) и KB5053606 (Windows 10 22H2), выпущенные 11 марта 2025 года в рамках Patch Tuesday.

По данным Microsoft, баг приводит к полному удалению приложения Copilot и откреплению соответствующей иконки от панели задач. При этом проблема не затрагивает Copilot для Microsoft 365.

Как пишет BleepingComputer, компания пока не объяснила, почему это происходит, и не добавила этот баг в Windows Release Health Dashboard — официальный список известных проблем в Windows.

Microsoft уже работает над решением проблемы, но пока пользователям предлагается самостоятельно переустановить Copilot из Microsoft Store и закрепить его на панели задач вручную.

Напомним, на прошлой неделе мы писали ещё об одной проблеме, связанной с апдейтами: USB-принтеры стали печатать бессмыслицу.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru