Sårbarhet i Python-paketet Js2Py som laddas ner mer än en miljon gånger i månaden

I Python-paketet Js2Py, som laddades ner 1,2 miljoner gånger förra månaden, har en sårbarhet (CVE-2024-28397) upptäckts som gör det möjligt att kringgå sandbox-isoleringen och exekvera kod i systemet vid hantering av speciellt utformade JavaScript-data. Sårbarheten kan användas för att attackera program som använder Js2Py för att köra JavaScript-kod. En lösning finns för närvarande endast som en patch. En prototyp av en exploit har förberetts för att kontrollera attackmöjligheterna.

Paketet Js2Py implementerar en tolk och översättare för JavaScript som gör det möjligt att köra JavaScript-kod i en isolerad miljö en virtuell maskin eller översätta JavaScript till en representation i Python-språket. Projektet är helt skrivet i Python och använder inga externa JavaScript-motorer. I praktiken används biblioteket i olika webbindextor, laddningssystem och analyserare av webbplatser som stöder bearbetning av innehåll genererat av JavaScript-kod.

Bland de applikationer som berörs av sårbarheten finns Lightnovel Crawler (ett verktyg för att ladda ner böcker från onlinetjänster och spara dem i olika format för offline-läsning), cloudscraper (automatiskt kringgå skyddssidor mot bots som används i CDN Cloudflare) och pyLoad (en nedladdningshanterare som stöder bearbetning av sidor som genereras av JavaScript). Vid hantering av specialutformat JavaScript-innehåll i dessa applikationer kan en angripare lyckas exekvera godtycklig kod på systemnivå.

Sårbarheten finns i implementeringen av den globala variabeln i js2py som gör det möjligt att få en referens till ett Python-objekt från den exekverade JavaScript-koden i isolerad miljö, oavsett anropet av metoden js2py.disable_pyimport() för att stänga av import av Python-objekt. För att exekvera godtycklig kod på systemet kan den angripare utnyttja sårbarheten för att få tillgång till Popen-objektet från Python-modulen subprocess. Noterbart är att ändringen för att åtgärda sårbarheten skickades till Js2Py-projektet den första mars, men har fortfarande inte accepterats efter tre och en halv månad.

Källa: opennet.ru