Artikel top billede

(Foto: Computerworld)

Gammel sårbarhed dukket op i Python-modul – kan udnyttes med få kodelinjer

Programmeringssproget Python bliver brugt af programmører i hele verden, og nu er en 15 år gammel sårbarhed dukket op.

Af Lars Bennetzen, Alt om Data

Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.

Det er ikke kun i operativsystemer og apps, at der er sårbarheder. Det udbredte programmeringssprog Python er netop blevet ramt af en sårbarhed – eller rettere: Ramt af en 15 år gammel sårbarhed gemt i et af de moduler, Python er bygget op af.

Det er forskere på Trellix Advanced Center, der har fandt sårbarheden i onsdags, og de oplyser, at hundredtusindvis af repositories er blevet udsat for sårbarheden.

Sårbarheden er fundet i Pythons tarfile-modul, og hvad forskerne først troede var en zero day-sårbarhed, viser sig at være sårbarheden ved navn CVE-2007-4559, der først blev fundet tilbage i 2007 – som navnet også antyder.

Sårbarheden slår til, når TAR-arkiver pakkes ud, og gør det muligt for en angriber at overskrive tilfældige filer, ved at tilføje sekvensen ”…” til TAR-arkivets filnavn.

Blot seks linjer kode

TAR-filer er en samling af forskellige filer og metadata der bruges til at pakke en TAR-fil ud. Muligheden for at ændre på navnet kan hackerne også ændre på der, hvor filen skal pakkes ud. Samtidig kan TAR-fil-modulet også give brugeren mulighed for at ændre filens metadata, før den bliver føjet til TAR-arkivet. Herved kan angriberne skabe nye sårbarheder med så lidt som seks linjer af kode, fortæller forskerne fra Trellix Advanced Research Center i en pressemeddelelse.

Forskerne skriver også i en meddelelse, at sårbarheden er utrolig let at udnytte, og at den kræver ganske lidt kendskab om sikkerhed. Ifølge forskerne er der dog fuld gang i at patche Python-systemer både i open source-miljøer og i closed source-verdenen. Men de konstaterer også ganske naturligt, at det haster med at få lukket dette 15 år gamle hul så hurtigt som muligt.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Alfapeople Nordic A/S
Rådgivning, implementering, udvikling og support af software og it-løsninger indenfor CRM og ERP.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Cyber Security Summit 2025: Her er truslerne – og sådan beskytter du dine kritiske data

Deltag og få værktøjer til at beskytte din virksomhed mod de nyeste cybertrusler med den rette viden og teknologi.

19. august 2025 | Læs mere


Cyber Security Summit 2025 i Jylland

Deltag og få værktøjer til at beskytte din virksomhed mod de nyeste cybertrusler med den rette viden og teknologi.

21. august 2025 | Læs mere


AI i det offentlige: Potentiale, erfaringer og krav

Hør erfaringerne med at anvende AI til at transformere og effektivisere processer i det offentlige – og med at sikre datakvalitet, governance og overholdelse af retningslinjer.

27. august 2025 | Læs mere