Python: Trellix patcht Bug automatisiert in 62.000 Projekten

Weil Trellix einen Bug wiederentdeckt hat, der seit 2007 in Python ungefixt geblieben war, hat man sich für einen neuartigen Ansatz entschieden.

Artikel veröffentlicht am 26. Januar 2023, 12:45 Uhr, Boris Mayer

Ist das automatische Erstellen von Patches und Pull-Requests im großen Stil eine Lösung, um Bugs einzufangen, bevor die zu Grunde liegende Sicherheitslücke stechen kann? - Trellix hat es versucht. (Bild: Blake Burkhart via flickr/CC-BY 2.0)

Vor wenigen Monaten hat Trellix einen Bug in Python entdeckt, der schon vor 15 Jahren gefunden worden war. Im Jahr 2010 sahen die Entwickler noch keinen Grund zu einer Änderung: "Die aktuelle Upstream-Meinung scheint zu sein, dass das Verhalten des Moduls den Standards entspricht und einfach nicht zum Extrahieren von Archiven aus nicht vertrauenswürdigen Quellen verwendet werden sollte", hieß es zur Begründung in dem zugehörigen Ticket bei Redhat.

Die Sicherheitslücke steckt im Tarfile-Modul von Python und war eine Path-Traversal-Schwachstelle. In Tarfiles können für einzelne Dateien Pfade angegeben werden, die als zwei Punkte die Navigation zum übergeordneten Verzeichnis erlauben, was es letztlich ermöglicht, in einem Tarfile eine beliebige Datei im System gezielt zu überschreiben - sofern der Kontext, in dem das Tar-Modul ausgeführt wird, die Berechtigungen dazu hat.

Eigentlich sind die Konventionen anders

Im Unix-tar-command sind die Konventionen andere. Nutzer müssen bei GNU-basierenden Systemen die Option --absolute-names, bei BDS-basierenden dagegen die Option --absolute-paths angeben, um den Check und das Verbot von Pfaden, die die zwei-Punkte-Referenz verwenden, abzuschalten.

Weil sich in der Zwischenzeit Python aber stark verbreitet hat und in vielen Open-Source-Projekten eingesetzt wird, die von der Lücke betroffen sein könnten, ließ sich Trellix von einem Vortrag des Sicherheitsforschers Jonathan Leitschuh auf der Defcon-2022 inspirieren. Leitschuh sprach darüber, wie sich Schwachstellen im großen Maßstab beheben lassen.

Trellix schreibt auf dem Blog der Firma, dass die Anzahl der betroffenen Open-Source-Projekte bei ca. 350.000 liegen könnte. Für 61.895 dieser Projekte habe man automatisiert Patches eingestellt und nach einem Review auch mit Pull-Requests versehen. Spannend wird sein, wie es mit diesen Pull-Requests weitergeht, denn in toten Projekten kümmert sich niemand um so etwas und aktive Projekte könnten automatisch erstellten Pull Requests sehr skeptisch gegenüberstehen.

Die Firma Trellix wurde erst im letzten Jahr von der Symphony Technology Group (STG) gestartet, besteht aber aus den von der STG zuvor zugekauften Firmen McAffee Enterprise und Manidant - letztere bis kurz davor als Fireeye bekannt.