Artikel top billede

(Foto: Dan Jensen)

15 år gammel sårbarhed opdaget i Python: Flere hundrede tusinder open source-projekter ramt

Mindst 350.000 open source-projekter kan være ramt af sårbarhed i et Python-modul, som har stået åbent i 15 år.

En hidtil uopdaget sårbarhed et modul i det vidt udbredte programmeringsværktøj Python kan være indarbejdet i mindst 350.000 open source-projekter gennem de seneste mange år.

Sårbarheden har stået åben i 15 år uden at være blevet opdaget.

Gennem alle disse år er modulet, hvori den findes blevet anvendt i hundredetusindevis af open source-projektet.

Sårbarheden findes i det såkaldte Tarfile-modul, som i Python anvendes til at læse og skrive komprimerede fil-pakker - de såkaldte tar archives.

Sårbarheden er blevet opdaget af sikkerhedsselskabet Trellix, der i første omgang troede, at der var tale om en 0-dags sårbarhed.

Det viste sig i stedet at være en 5.500 dags-sårbarhed, som kan dateres helt tilbage til 24. august 2007.

Den har fået navnet CVE-2007-4559, og du kan læse mere om den her.

Trellix har bygget et gratis værktøj med navnet Creosote, som man kan anvende til at skanne efter sårbarheden i sine open source-projekter.

Du finder Creosote på GitHub her.

Ifølge Trellix findes den i mere end 350.000 open source-projekter og det samme antal closed-source-projekter.’

Tarfile er default-modul i Python og anvendes i blandt andet frameworks hos AWS, Facebook, Google og Intel og i en række applikationer til machine learning og automatisering samt i Docker-containere.




CIO
Stort CIO-interview: Lemvigh-Müllers milliard-omsætning er blevet digital