Pas moins de 350 000 projets open source seraient potentiellement vuln\u00e9rables \u00e0 l’exploitation en raison d’une faille de s\u00e9curit\u00e9 dans un module Python qui n’a pas \u00e9t\u00e9 corrig\u00e9 depuis 15 ans.<\/p>\n
Les r\u00e9f\u00e9rentiels open source couvrent un certain nombre de secteurs verticaux, tels que le d\u00e9veloppement de logiciels, l’intelligence artificielle\/apprentissage automatique, le d\u00e9veloppement Web, les m\u00e9dias, la s\u00e9curit\u00e9, la gestion informatique.<\/p>\n
La lacune, suivie comme CVE-2007-4559<\/a> (score CVSS\u00a0: 6,8), est enracin\u00e9 dans le module tarfile, dont l’exploitation r\u00e9ussie pourrait conduire \u00e0 l’ex\u00e9cution de code \u00e0 partir d’une \u00e9criture de fichier arbitraire.<\/p>\n “La vuln\u00e9rabilit\u00e9 est une attaque de travers\u00e9e de chemin dans les fonctions d’extraction et d’extraction du module tarfile qui permet \u00e0 un attaquant d’\u00e9craser des fichiers arbitraires en ajoutant la s\u00e9quence ‘..’ aux noms de fichiers dans une archive TAR”, a d\u00e9clar\u00e9 Kasimir Schulz, chercheur en s\u00e9curit\u00e9 chez Trellix. a dit<\/a> dans une r\u00e9daction.<\/p>\n Initialement divulgu\u00e9 en ao\u00fbt 2007, le bogue a \u00e0 voir avec la fa\u00e7on dont une archive tar sp\u00e9cialement con\u00e7ue peut \u00eatre exploit\u00e9e pour \u00e9craser des fichiers arbitraires sur une machine cible simplement \u00e0 l’ouverture du fichier.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n