CVE-2024-9287

Versões do CPython anteriores à 3.13.0

Foi identificada uma vulnerabilidade no módulo venv e na interface de linha de comando (CLI) do CPython, na qual os nomes de caminho fornecidos ao criar um ambiente virtual não eram colocados entre aspas corretamente, permitindo que o criador injetasse comandos nos scripts de “ativação” do ambiente virtual, como source venv/bin/activate. Isso significa que ambientes virtuais controlados por invasores são capazes de executar comandos quando o ambiente virtual é ativado. Ambientes virtuais que não são criados por um invasor ou que não são ativados antes de serem usados, por exemplo, ./venv/bin/python, não são afetados.

Para versões do CPython anteriores à 3.13.0, atualize o Python CPython para uma versão corrigida o mais rápido possível para mitigar o risco de ataques locais. Como solução temporária, considere evitar a ativação de ambientes virtuais que possam ter sido criados por um invasor e, em vez disso, use diretamente o executável Python do ambiente virtual, por exemplo, ./venv/bin/python.