Security: Lücke in Pythons Tarfile-Modul betrifft 350.000 Projekte
Bereits 2007 wurde eine Sicherheitslücke (CVE-2007-4559) im Pythons Tarfile-Modul entdeckt. Als Abhilfemaßnahme wurde damals die Dokumentation angepasst, die Entwickler vor dem möglichen Risiko warnte. Ein Patch wurde laut dem Onlinemagazin Bleepingcomputer(öffnet im neuen Fenster) nicht veröffentlicht.
Konkret befindet sich die Sicherheitslücke in Code, der die nicht bereinigte Funktion tarfile.extract() oder die eingebauten Standardwerte von tarfile.extractall() verwendet. Mit diesen lassen sich Tar-Archive entpacken.
Bei der Schwachstelle handelt es sich um einen Path Traversal. Mit diesem kann der Zielordner der zu entpackenden Datei geändert werden. So lassen sich beispielsweise Dateien überschreiben und dadurch eventuell auch Code ausführen.
350.000 Projekte betroffen - Patches für 11.000 erstellt
Die Sicherheitsfirma Trellix entdeckte das Problem Anfang des Jahres bei einer Untersuchung erneut und überprüfte anschließend manuell 257 Projekte auf Github, bei denen die Wahrscheinlichkeit bestand, dass die Repositories verwundbar sind. Dabei enthielten 175 die Sicherheitslücke.
"Mit der Hilfe von Github waren wir in der Lage, einen viel größeren Datensatz zu erhalten, der 588.840 einzigartige Repositories enthält, die 'import tarfile' in ihrem Python-Code enthalten," schreibt Trellix.
Ausgehend von der manuell überprüften Schwachstellenquote von 61 Prozent schätzt Trellix, dass es mehr als 350.000 anfällige Repositories gibt. 11.000 Repositories wurden von Trellix geforkt und Patches erstellt. Diese sollen später über Pull Requests in die Hauptprojekte einfließen.
Bisher gibt es laut Bleepingcomputer jedoch keine bekannten Fälle, in denen die Sicherheitslücke aktiv ausgenutzt wurde. Auch in Winrar wurde 2019 eine ähnliche Sicherheitslücke entdeckt , die bereits seit 19 Jahren in dem Packprogramm gesteckt hatte.