Vulnerabilidad en el análisis de archivos de requisitos de en pipenv (CVE-2022-21668)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

10/01/2022

Última modificación:

07/02/2024

Descripción

pipenv es una herramienta de flujo de trabajo de desarrollo de Python. A partir de la versión 2018.10.9 y versiones anteriores a 2022.1.8, un defecto en el análisis de archivos de requisitos de pipenv permite a un atacante insertar una cadena especialmente diseñada dentro de un comentario en cualquier lugar dentro de un archivo requirements.txt, lo que causará que las víctimas que usan pipenv para instalar el archivo de requisitos descarguen dependencias de un servidor de índice de paquetes controlado por el atacante. Al insertar código malicioso en los paquetes servidos desde su servidor de índice malicioso, el atacante puede desencadenar una ejecución de código remota (RCE) arbitraria en los sistemas de las víctimas. Si un atacante es capaz de ocultar una opción maliciosa "--index-url" en un archivo de requisitos que una víctima instala con pipenv, el atacante puede insertar código malicioso arbitrario en paquetes servidos desde su servidor de índice malicioso que será ejecutado en el host de la víctima durante la instalación (ejecución de código remota/RCE). Cuando pip instala desde una distribución de origen, cualquier código en el archivo setup.py es ejecutado por el proceso de instalación. Este problema está parcheado en versión 2022.1.8. El aviso de seguridad de GitHub contiene más información sobre esta vulnerabilidad

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.60 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.60

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:M/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 9.30 ALTA
Vector: AV:N/AC:M/Au:N/C:C/I:C/A:C

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo

Puntuación base 2.0

9.30

Gravedad 2.0

ALTA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:pypa:pipenv::::::::	2018.10.9 (incluyendo)	2022.1.8 (excluyendo)
cpe:2.3:o:fedoraproject:fedora:34:::::::*
cpe:2.3:o:fedoraproject:fedora:35:::::::*
cpe:2.3:o:fedoraproject:fedora:36:::::::*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en el análisis de archivos de requisitos de en pipenv (CVE-2022-21668)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información