Pythonの15年間見過ごされてきた脆弱性が30万件以上のオープンソースリポジトリに影響を与える可能性

プログラミング言語のPythonで、2007年に存在が公開されたものの修正されなかったバグが再発見されました。任意コード実行可能な脆弱性にもつながるこのバグの影響は、コーディング自動化ツールを介してさまざまなプロジェクトに広まっており、修正するべきオープンソースリポジトリが35万件以上にも及ぶと指摘されています。 Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trell

[theatrical]

pythonが15年以上あったのかよみたいなリアクションあるけど、最新言語扱いの rustだってもう12年くらい歴史あるのよ。

[odz]

Pythonの登場は1991年なので、15年どころか30年以上経っている。

[igni3]

3dソフトのblenderだってオープンソースでもなかった20年以上前からpython使ってる。

[eichisanden]

“今後数週間で7万件以上のプロジェクトが修正されると予想していますが”そんなにtar使ってるプロジェクトあるのか？

[Syunpei]

この記事をおすすめしました

[peperon_brain]

15年とかだと2系だけ？3系も？っての重要だと思うんだがこの記事じゃわからんな

[strawberryhunter]

Pythonは2008年に互換性を捨てたので確かに新しい言語だと言えなくもない（擁護）。

[gfx]

よくあるtar展開時のディレクトリトラバーサル脆弱性が、GitHub Copilotで拡大再生産されてしまったのではないかという推測。

[t_otoda]

むぅ

[ys0000]

記事の内容が薄いなぁ。tarを直接使ってる人は少ないだろうからsklearnのようなメジャーなモジュールではどうなのかという深堀が欲しいところ。

[Iridium]

pythonはなんか遅いから使いたくない

[suzukiMY]

tarfile

[amd64x64]

何ならインタプリタ側に特例の対策処理入れちゃえば。

[kotas]

"その多くでGitHub Copilotなどの自動ツールが使われている“ Copilot使ってるかどうかなんてコードからわかるんか、と原文記事読んだけど、脆弱コードで学習してるから補完も汚染されてると言ってるだけだった

[satoshihirai1]

30万件以上、すごく膨大な影響ですね。

[Shinwiki]

Python出てから15年経ってるのかよ…そっちの方が驚きだ

[ooblog]

#Python #tar #脆弱性 #ディレクトリトラバーサル 「tar形式アーカイブの読み書きをするためのモジュール~Tarinfoオブジェクト内のファイル名~悪意のある人物がファイルシステムにアクセスできるようになり、任意コード」

[mn36555023]

とりあえず🖥