PT-2020-22669 · Python · Pip
Publicado
2020-09-04
·
Atualizado
2020-09-04
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões do pip anteriores à 19.2
Descrição
A vulnerabilidade permite o acesso a diretórios (Directory Traversal) quando um URL é fornecido em um comando de instalação. Isso ocorre porque um cabeçalho Content-Disposition pode conter ../ em um nome de arquivo. Por exemplo, pode ser usado para sobrescrever o arquivo /root/.ssh/authorized keys. O problema está localizado na função
download http url dentro de internal/download.py.Recomendações
Para versões anteriores à 19.2, atualize para a versão 19.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso de URLs em comandos de instalação para minimizar o risco de exploração.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Pip