PT-2020-12533 · Python · Autoswitch Python Virtualenv

Michael Aquilina · Publicado 2020-05-13 · Atualizado 2021-11-04 · CVE-2020-11073

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.9

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Autoswitch Python Virtualenv anteriores à 1.16.0

Descrição

Um usuário que acessar um diretório contendo um arquivo .venv malicioso poderá executar código arbitrário sem qualquer interação do usuário.

Recomendações

Para versões anteriores à 1.16.0, atualize para a versão 1.16.0 para resolver o problema.

Como solução temporária, considere evitar diretórios que possam conter arquivos .venv maliciosos até que a atualização seja aplicada.

Exploit

Correção

Command Injection

Path traversal

Enumeração de Fraquezas

CWE-77

CWE-22

Identificadores relacionados

CVE-2020-11073

GHSA-H8WM-CQQ6-957Q

Produtos afetados

Autoswitch Python Virtualenv

Referências · 7

• 🔥 https://github.com/MichaelAquilina/zsh-autoswitch-virtualenv/issues/122 · Exploit
• https://github.com/MichaelAquilina/zsh-autoswitch-virtualenv/security/advisories/GHSA-h8wm-cqq6-957q · Nota
• https://github.com/MichaelAquilina/zsh-autoswitch-virtualenv/commit/30c77db7c83eca2bc5f6134fccbdc117b49a6a05 · Correção
• https://github.com/MichaelAquilina/zsh-autoswitch-virtualenv/pull/123 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-11073 · Nota de Segurança
• https://t.me/cvenotify/3755 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-11073 · Aviso do Fabricante