当前位置:首页 > 文章中心 > 正文内容

超 4300 万 Python 安装有代码执行漏洞隐患

dgx6664个月前 (03-18)文章中心14

导语:在 Python JSON Logger 包(python-json-logger)中,发现了一个严重影响版本 3.2.0 和 3.2.1 的重大漏洞,编号为 CVE-2025-27607。

在 Python JSON Logger 包(python-json-logger)中,发现了一个严重影响版本 3.2.0 和 3.2.1 的重大漏洞,编号为 CVE-2025-27607。该漏洞因对缺失依赖项 “msgspec-python313-pre” 的滥用,导致了远程代码执行(RCE)风险。最近的一项实验揭示了恶意行为者能够通过声明和操纵这一缺失的依赖项来利用该漏洞,使得这一问题引发了广泛关注。

漏洞详细信息

问题源于 PyPi 中 “msgspec-python313-pre” 依赖项被删除。这一删除操作使得该依赖项名称可供任何人随意声明,这就为恶意行为者创造了可乘之机,他们有可能发布同名的恶意软件包。一旦恶意行为者声明拥有该依赖项,在 Python 3.13 环境下使用 “pip install python-json-logger [dev]” 命令安装 python-json-logger 开发依赖项的用户,就可能在毫不知情的情况下,下载并执行恶意代码。

该漏洞是由 @omnigodz 在研究供应链攻击时发现的。研究人员注意到,尽管 PyPi 中已不存在 “msgspec-python313-pre” 依赖项,但在 python-json-logger 版本 3.2.1 的 pyproject.toml 文件中,它仍被声明存在。

受影响的版本

受此次漏洞影响的版本为 3.2.0 和 3.2.1。为了在不造成实际危害的前提下演示该漏洞,研究人员临时发布了同名的非恶意软件包,之后又将其删除。这一操作使得该软件包名称与受信任的实体关联起来,有效防止了潜在恶意行为者利用此漏洞。

影响与响应

根据官方 PyPi BigQuery 数据库数据,python-json-logger 包应用广泛,每月下载量超 4600 万次。尽管目前没有证据表明该漏洞在公开披露前已被利用,但其潜在影响不容小觑。一旦恶意行为者声明拥有 “msgspec-python313-pre” 依赖项,所有安装 python-json-logger 开发依赖项的用户都将面临风险。

为解决这一问题,python-json-logger 的维护人员迅速发布了 3.3.0 版本,该版本已移除了易受攻击的依赖项。建议使用受影响版本的用户尽快更新到最新版,以降低遭受 RCE 攻击的风险。

此次事件凸显了维护和确保软件包依赖关系安全的重要性,同时也强调了在开源生态系统中,对供应链安全保持高度警惕的必要性。虽然这一特定漏洞已得到解决,但它提醒着开发人员和用户,要时刻关注潜在安全风险,并及时将软件更新到最新版本。

扫描二维码推送至手机访问。

版权声明:本文由第六芝士网发布,如需转载请注明出处。

本文链接:http://www.dgx666.com/post/373.html

标签: python3下载
分享给朋友:

“超 4300 万 Python 安装有代码执行漏洞隐患” 的相关文章

cad2010~2014闪退的原因和解决方法(绝对有效)

在win10中,CAD2010~2014软件安装后,用注册机后,一打开就闪退是什么原因呢?遇到这类问题,我们该如何解决呢?一起来我的经验吧!。首先,CAD软件一打开就闪退,这种情况可能是ADLM文件已经被破坏,需要我们重新修复。具体步骤如下:第一步:打开电脑C盘。第二步:输入flexnet进行搜索。...

各种软件自下载

室内/外设计 AutoCAD CAD2004 CAD2004下载地址:链接:http://pan.baidu.com/s/1i5lBAQT 密码:y02h CAD2005 CAD2005下载地址:链接:http://pan.baidu.com/s/1jI02Bn4 密码:u3je CAD2006 C...

CAD高版本图纸打不开,用它解决

相信用过autoCAD的人都遇见过高版本打不开低版本的图纸这个情况,这个时候通常就需要找一个版本转换器,这里就告诉大家一个不用找转换器的方式用到的操作软件:CAD梦想画图,点此进入官网。解决的问题操作步骤1.打开需要转换的图纸,点击上方“功能-高级工具”随后弹出高级工具条在里面找到“DWG版本转换”...

如何在CAD中绘制常用的标高符号?

CAD建筑标高符号在建筑制图中是一个十分重要的符号,能够增加图纸准确性。那么我们该怎么使用CAD画图软件来绘制一个简单的标高符号呢?那么接下来我们用CAD梦想画图来演示一下吧!操作步骤1. 打开CAD软件,并打开下方“极轴”,然后单击鼠标右键,选择设置,启用极轴追踪,并将增量角数值设置为45,再点击...

如何在圆柱与圆锥面上绘制文字,关键在于SolidWorks包覆命令

今天给大家分享一个小技巧,是关于包覆命令在圆柱和圆锥面上的如何使用进行文字内容绘制,以及需要注意的事项。1. 首先我们打开 Solidworks2018软件,点击拉伸凸台,选择上视基准面,绘制一个圆,如图所示:2. 我们绘制好草图之后,选择完成,点击拉伸,如图所示:3.完成拉伸后,我们选择草图里面的...

office安装程序找不到office.zh-cn\msvcr80.dll解决方法

近期在安装office2007程序的时候,出现了一个错误,提示了“安装程序找不到office.zh-cn/msvcr80.dll,请浏览确定有效的安装源,然后单击确定”,这可能是因为“Visual Studio Authoring Component组件”的问题导致的,那么要如何解决呢?下面峰哥分享...