Уязвимост в Python пакета Js2Py, изтеглян повече от един милион пъти на месец

В Python пакета Js2Py, който беше изтеглен 1.2 милиона пъти през миналия месец, е открита уязвимост (CVE-2024-28397), която позволява заобикаляне на изолацията на пясъчника и изпълнение на код в системата при обработка на специално форматирани данни на JavaScript. Уязвимостта може да бъде използвана за атака на програми, които използват Js2Py за изпълнение на JavaScript код. В момента поправката е налична само като пач. Подготвен е прототип на експлойт за тестване на възможността за атака.

Пакет Js2Py реализира интерпретатор и транслатор на JavaScript, който позволява изпълнението на JavaScript код в изолирана среда. виртуална машина или транслация на JavaScript към представяне на Python. Проектът е написан изцяло на Python и не използва външни JavaScript движещи механизми. На практика библиотеката се използва в различни уеб индексиращи приложения, системи за изтегляне и анализатори на сайтове, поддържащи обработка на съдържание, генерирано от кодове на JavaScript.

Сред приложенията, които засяга уязвимостта, са Lightnovel Crawler (утилита за изтегляне на книги от онлайн услуги и запазването им в различни формати за офлайн четене), cloudscraper (автоматично преодоляване на страници за защита от ботове, използвани в CDN Cloudflare) и pyLoad (мениджър на изтегляния, който поддържа обработка на страници, генерирани на JavaScript). При обработка на специално форматиран JavaScript код в тези приложения, нападателят може да постигне изпълнение на произволен код на системно ниво.

Уязвимостта е налична в реализацията на глобалната променлива в js2py, позволяваща получаване на референция към Python обект от изпълнявания код в изолирана среда на JavaScript, независимо от извикването на метода js2py.disable_pyimport() за деактивиране на импорта на Python обекти. За да изпълни произволен код в системата, нападателят може да използва уязвимостта, за да получи достъп до обекта Popen от Python модула subprocess. Забележително е, че изменението с отстраняване на уязвимостта беше изпратено в проекта Js2Py на първи март, но за три и половина месеца все още не е било прието.

Източник: opennet.ru