يمكن استخدام ثغرة أمنية تم اكتشافها في لغة ترميز Python في عام 2007 لإجراء تنفيذ التعليمات البرمجية في أكثر من 350.000 مشروع.
لقد كان Python Flaw موجودًا منذ خمسة عشر عامًا
عيب غير مصحح في لغة برمجة بايثون يشكل الآن تهديدًا خطيرًا لمئات الآلاف من المشاريع. تم اكتشاف الثغرة الأمنية ، المعروفة باسم CVE-2007-4559 ، قبل خمسة عشر عامًا ولكن تم اعتبارها منخفضة المخاطر ، وبالتالي لم يتم تصحيحها (على الرغم من إصدار تحذير للمطورين بشأن الخلل).
يوجد الخلل CVE-2007-4559 ضمن وظائف "extract" و "extractall" في وحدة ملف tarfile في Python. إنه خطأ اجتياز المسار ، والذي يسمح للأطراف الخبيثة بالكتابة فوق الملفات التعسفية عن طريق تحميل ملف tarfile ضار. يمكن بعد ذلك تنفيذ ملف tarfile هذا ، مما يمنح الفاعل الضار السيطرة على جهاز معين.
يمكن استغلال أكثر من 350.000 مشروع مفتوح المصدر ومغلق تمتد عبر مجموعة من الصناعات عبر اجتياز المسار التعسفي باستخدام الثغرة الأمنية CVE-2007-4559.
تمت إعادة اكتشاف ثغرة Python في عام 2022
تم اكتشاف هذه الثغرة الأمنية في Python في وقت مبكر من عام 2022 من قبل الباحث عن الثغرات في Trellix ، كاسيمير شولز ، على الرغم من أن هذا تم عن طريق الخطأ أثناء التحقيق في مشكلة أمنية أخرى. أعاد شولز CVE-2007-4559 إلى دائرة الضوء ، على الرغم من أنه كان يعتقد في البداية أنه جديد تمامًا
صفر يوم عيب. ولكن سرعان ما تم اكتشاف أن هذا كان ، في الواقع ، خطأ بايثون طويل الأمد تم اكتشافه قبل خمسة عشر عامًا.قام Trellix بسرعة بعمل تغريدة لإعلام الناس بالعيب وتهديده للمشاريع القائمة على Python.
بعد إعادة الاكتشاف هذه ، أنشأ Trellix تصحيحات لأكثر من 11000 مشروع ، على الرغم من أنه يعتقد أن العديد من المشاريع ستتلقى تصحيحًا في الأسابيع القادمة. قام Trellix أيضًا بإنشاء أداة مجانية تسمى Creosote ، والتي يمكن استخدامها للبحث عن وجود ثغرة tarfile CVE-2007-4559.
CVE-2007-4559 لم يتم استغلالها بعد
على الرغم من أن هذا الخلل في لغة Python يشكل تهديدًا كبيرًا لآلاف المشاريع ، إلا أنه يبدو أنه لم يتم استغلاله بعد. يأمل الباحثون أن يتم تصحيح المشاريع قبل أن تتمكن الجهات الخبيثة من استغلال الخلل ، على الرغم من أن هذا قد يحدث يستغرق الأمر بعض الوقت ، كما أن سهولة استغلال CVE-2007-4559 تجعله مشكلة كبيرة محتملة في سلسلة التوريد.
لا تزال نقاط الضعف تشكل تهديدًا للأفراد والمنظمات على حدٍ سواء
يتم اكتشاف الثغرات الأمنية باستمرار من قبل الباحثين والمحللين ، حيث يتوق مجرمو الإنترنت لاستغلالها قبل أن يتلقوا التصحيح. سيظل هذا مصدر قلق في جميع الصناعات ، ومن المرجح أن يتسبب في مزيد من المشكلات في المستقبل. في حالة CVE-2007-4559 ، تحرص Trellix على تزويد المشاريع برمز تم إصلاحه في أسرع وقت ممكن ، بحيث لا يمكن إساءة استغلال هذا الخلل من قبل الجهات الضارة.
