0
0
O Trellix Advanced Research Center publicou sua pesquisa sobre o CVE-2007-4559, uma vulnerabilidade estimada em mais de 350.000 projetos de código aberto e predominante em projetos de código fechado.
Exploração bem-sucedida
A vulnerabilidade existe no módulo tarfile do Python, que é um módulo padrão em qualquer projeto usando Python e é encontrado extensivamente em estruturas criadas pela Netflix, AWS, Intel, Facebook, Google e aplicativos usados para aprendizado de máquina, automação e conteinerização do docker.
A vulnerabilidade pode ser explorada carregando um arquivo malicioso gerado com duas ou três linhas de código simples e permite aos invasores a execução de código arbitrário ou o controle de um dispositivo de destino.
“Quando falamos sobre ameaças à cadeia de suprimentos , normalmente nos referimos a ataques cibernéticos, como o incidente da SolarWinds, no entanto, construir em cima de bases de código fracas pode ter um impacto igualmente grave”, disse Christiaan Beek , chefe de pesquisa de adversários e vulnerabilidades da Trellix. . “A difusão dessa vulnerabilidade é ampliada por tutoriais do setor e materiais on-line que propagam seu uso incorreto. É fundamental que os desenvolvedores sejam educados em todas as camadas da pilha de tecnologia para impedir adequadamente a reintrodução de superfícies de ataque anteriores.”
Ferramentas de desenvolvedor de código aberto, como o Python, são necessárias para avançar na computação e na inovação, e a proteção contra vulnerabilidades conhecidas requer colaboração do setor. Os pesquisadores estão trabalhando para enviar código por meio da solicitação pull do GitHub para proteger projetos de código aberto da vulnerabilidade.
Uma ferramenta gratuita para desenvolvedores verificarem se seus aplicativos estão vulneráveis está disponível no GitHub , e a pesquisa completa está disponível no Trellix .
FONTE: HELPNET SECURITY