CVE-2024-6345

Nome do software vulnerável e versões afetadas:

pypa/setuptools até a versão 69.1.1

Descrição:

Uma vulnerabilidade no módulo package index do pypa/setuptools permite a execução remota de código por meio de suas funções de download. Essas funções, utilizadas para baixar pacotes a partir de URLs fornecidas pelos usuários ou recuperadas de servidores de índice de pacotes, são suscetíveis à injeção de código. Se essas funções forem expostas a entradas controladas pelo usuário, como URLs de pacotes, elas podem executar comandos arbitrários no sistema.

Recomendações:

Para versões do pypa/setuptools até a 69.1.1, atualize para a versão 70.0 para resolver o problema.

Como solução temporária, considere restringir o uso das funções de download no módulo package index para minimizar o risco de exploração.

Evite usar entradas controladas pelo usuário, como URLs de pacotes, nas funções de download afetadas até que o problema seja resolvido.