Vulnérabilité dans le package Python Js2Py, téléchargé plus d'un million de fois par mois

Dans le package Python Js2Py, qui a été téléchargé 1,2 million de fois le mois dernier, une vulnérabilité (CVE-2024-28397) a été identifiée, permettant de contourner l'isolation sandbox et d'exécuter du code sur le système lors du traitement de données spécialement conçues en JavaScript. Cette vulnérabilité peut être exploitée pour attaquer des programmes utilisant Js2Py pour exécuter du code JavaScript. Un correctif est actuellement disponible uniquement sous forme de patch. Un prototype d'exploit a été préparé pour tester la possibilité d'attaque.

Le package Js2Py implémente un interpréteur et un compilateur JavaScript, permettant d'exécuter du code JavaScript dans un environnement isolé une machine virtuelle ou de traduire le JavaScript en une représentation en Python. Le projet est entièrement écrit en Python et n'utilise pas de moteurs JavaScript tiers. En pratique, la bibliothèque est utilisée dans divers indexeurs web, systèmes de téléchargement et analyseurs de sites web, prenant en charge le traitement de contenu généré par du code JavaScript.

Parmi les applications affectées par la vulnérabilité, on trouve Lightnovel Crawler (un outil pour télécharger des livres depuis des services en ligne et les sauvegarder dans divers formats pour une lecture hors ligne), cloudscraper (qui contourne automatiquement les pages de protection contre les bots utilisées dans le CDN Cloudflare) et pyLoad (un gestionnaire de téléchargements prenant en charge le traitement de pages générées par JavaScript). Lors du traitement de contenu JavaScript spécialement conçu, un attaquant peut réussir à exécuter du code arbitraire au niveau du système dans ces applications.

La vulnérabilité réside dans la mise en œuvre de la variable globale à l'intérieur de js2py, permettant d'obtenir une référence à un objet Python à partir du code JavaScript exécuté dans un environnement isolé, malgré l'appel de la méthode js2py.disable_pyimport() pour désactiver l'importation d'objets Python. Pour exécuter du code arbitraire sur le système, un attaquant peut profiter de la vulnérabilité pour accéder à l'objet Popen du module Python subprocess. Il est à noter qu'un changement pour corriger la vulnérabilité a été soumis au projet Js2Py le premier mars, mais n'a pas encore été accepté après trois mois et demi.

Source : opennet.ru