Уязвимост в Python пакета Js2Py, изтеглян повече от един милион пъти на месец

В Python пакета Js2Py, който беше изтеглен 1.2 милиона пъти миналия месец, е открита уязвимост (CVE-2024-28397), позволяваща заобикаляне на изолацията на пясъчника и изпълнение на код в системата при обработка на специално форматирани данни на JavaScript. Уязвимостта може да бъде използвана за атака на програми, които използват Js2Py за изпълнение на JavaScript код. Понастоящем поправката е налична само под формата на пач. Изготвен е прототип на експлоит за проверка на възможността за атака.

Пакетът Js2Py реализира интерпретатор и транслятор на JavaScript, позволяващ изпълнението на JavaScript код в изолирана среда. виртуална машина или трансформира JavaScript в Python представяне. Проектът е напълно написан на Python и не използва външни JavaScript двигатели. На практика библиотеката се използва в различни уеб индексиращи системи, системи за изтегляне и анализатори на уебсайтове, поддържащи обработка на съдържание, генерирано от JavaScript код.

При приложенията, засегнати от уязвимостта, включваме Lightnovel Crawler (инструмент за изтегляне на книги от онлайн услуги и запазване в различни формати за офлайн четене), cloudscraper (автоматично заобикаляне на страниците за защита от ботове, използвани в CDN Cloudflare) и pyLoad (мениджър на изтегляния, който поддържа обработка на страници, генерирани на JavaScript). При обработката на специално форматиран JavaScript съдържание в тези приложения, нападателят може да постигне изпълнение на произволен код на системно ниво.

Уязвимостта е налична в реализацията на глобалната променлива в js2py, позволяваща получаване на референция към Python обект от изпълняван код на JavaScript в изолирана среда, независимо от извикването на метода js2py.disable_pyimport() за деактивиране на импорта на Python обекти. За изпълнение на произволен код в системата, нападателят може да използва уязвимостта, за да получи достъп до обекта Popen от Python модула subprocess. Интересно е, че промяната за отстраняване на уязвимостта е изпратена в проекта Js2Py на първи март, но за три и половина месеца все още не е била приета.

Източник: opennet.ru