PT-2026-37196
CVE-2026-42301
·
تاريخ النشر
2026-05-04
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات pyp2spec السابقة للإصدار 0.14.1
الوصف
يقوم pyp2spec بكتابة بيانات تعريف حزمة PyPI، مثل حقل الملخص، في ملفات المواصفات التي تم إنشاؤها دون تجاوز توجيهات ماكرو RPM. وعندما يستخدم مُعبِّئ الحزم أدوات مثل
rpmbuild -bs أو rpmbuild --nobuild أو rpm -q --specfile، يتم تقييم هذه التوجيهات، مما يسمح لحزمة خبيثة بتنفيذ أوامر عشوائية على جهاز البناء. يحدث هذا التنفيذ أثناء تحليل ملفات spec، مما يعني أن البناء الكامل ليس ضروريًا لحدوث الاختراق. تشمل نواقل الهجوم المحتملة الاستيلاء على أسماء النطاقات (typosquatting) أو استهداف الحزم قيد المراجعة في Fedora، مما قد يؤدي إلى اختراق بيانات الاعتماد الحساسة مثل مفاتيح SSH الخاصة بـ dist-git، وبيانات اعتماد البناء في Koji، وبيانات اعتماد التحديث في Bodhi.التوصيات
قم بالتحديث إلى الإصدار 0.14.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾