V Python balíčku Js2Py, který byl stažen v minulém měsíci 1,2 milionkrát, byla zjištěna zranitelnost (CVE-2024-28397), která umožňuje obejít izolaci sandboxu a provést kód v systému při zpracování speciálně formátovaných dat na JavaScriptu. Zranitelnost může být využita pro útoky na programy, které používají Js2Py k provádění JavaScriptového kódu. Oprava je zatím k dispozici pouze jako patch. Pro ověření možnosti útoku byl připraven prototyp exploitů.
Balíček Js2Py implementuje interpretr a transkálator JavaScriptu, který umožňuje spouštět JavaScriptový kód v izolovaném virtuálním stroji nebo jeho translaci do Pythonu. Projekt je napsán zcela v Pythonu a nevyužívá žádné externí JavaScriptové enginy. V praxi se knihovna používá v různých webových indexerech, systémových stahovačích a analyzátorech stránek podporujících zpracování obsahu generovaného JavaScriptem.
Mezi aplikace, které jsou zranitelností dotčeny, patří Lightnovel Crawler (nástroj pro stahování knih z online služeb a jejich ukládání do různých formátů pro offline čtení), cloudscraper (automatické obcházení stránek ochrany proti botům používané v CDN Cloudflare) a pyLoad (manažer stahování, který podporuje zpracování stránek generovaných JavaScriptem). Při zpracování speciálně formátovaného JavaScriptového obsahu může útočník dosáhnout provedení libovolného kódu na úrovni systému.
Zranitelnost se nachází v implementaci globální proměnné uvnitř js2py, která umožňuje získat odkaz na Python objekt z kódu běžícího v izolovaném prostředí JavaScriptu, bez ohledu na to, že byla vyvolána metoda js2py.disable_pyimport() pro zakázání importu Python objektů. Pro vykonání libovolného kódu v systému může útočník využít zranitelnost k získání přístupu k objektu Popen z Python modulu subprocess. Zajímavé je, že změna odstraňující zranitelnost byla do projektu Js2Py odeslána prvního března, ale za tři a půl měsíce nebyla akceptována.
Zdroj: opennet.ru
