Artikel top billede

(Foto: Computerworld)

Gammel sårbarhed dukket op i Python-modul – kan udnyttes med få kodelinjer

Programmeringssproget Python bliver brugt af programmører i hele verden, og nu er en 15 år gammel sårbarhed dukket op.

Af Lars Bennetzen, Alt om Data

Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.

Det er ikke kun i operativsystemer og apps, at der er sårbarheder. Det udbredte programmeringssprog Python er netop blevet ramt af en sårbarhed – eller rettere: Ramt af en 15 år gammel sårbarhed gemt i et af de moduler, Python er bygget op af.

Det er forskere på Trellix Advanced Center, der har fandt sårbarheden i onsdags, og de oplyser, at hundredtusindvis af repositories er blevet udsat for sårbarheden.

Sårbarheden er fundet i Pythons tarfile-modul, og hvad forskerne først troede var en zero day-sårbarhed, viser sig at være sårbarheden ved navn CVE-2007-4559, der først blev fundet tilbage i 2007 – som navnet også antyder.

Sårbarheden slår til, når TAR-arkiver pakkes ud, og gør det muligt for en angriber at overskrive tilfældige filer, ved at tilføje sekvensen ”…” til TAR-arkivets filnavn.

Blot seks linjer kode

TAR-filer er en samling af forskellige filer og metadata der bruges til at pakke en TAR-fil ud. Muligheden for at ændre på navnet kan hackerne også ændre på der, hvor filen skal pakkes ud. Samtidig kan TAR-fil-modulet også give brugeren mulighed for at ændre filens metadata, før den bliver føjet til TAR-arkivet. Herved kan angriberne skabe nye sårbarheder med så lidt som seks linjer af kode, fortæller forskerne fra Trellix Advanced Research Center i en pressemeddelelse.

Forskerne skriver også i en meddelelse, at sårbarheden er utrolig let at udnytte, og at den kræver ganske lidt kendskab om sikkerhed. Ifølge forskerne er der dog fuld gang i at patche Python-systemer både i open source-miljøer og i closed source-verdenen. Men de konstaterer også ganske naturligt, at det haster med at få lukket dette 15 år gamle hul så hurtigt som muligt.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Targit A/S
Udvikling og salg af software til business intelligence.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Virksomhedsplatforme i forandring: Hvordan navigerer du i den teknologiske udvikling?

Hvordan finder du balancen mellem cloud- og hybride løsninger? Hvordan integrerer du legacy-applikationer ind i dit nye ERP-setup? Hvordan undgår du at havne i statistikken over store ERP-projekter, der fejler eller overskrider budgetterne?

14. maj 2025 | Læs mere


Computerworld Summit 2025, København – AI transforming business

Årets uomgængelige konference for dig, der er med til at træffe beslutninger om din organisations teknologiske fremtid, og vil have det samlede overblik over aktuelle tendenser i IT-branchen.

27. maj 2025 | Læs mere


Årets CIO 2025

Vi skal finde Årets CIO 2025 og den kvinde eller mand, som i et helt år kan bryste sig af at være landets bedste CIO.

03. juni 2025 | Læs mere