Исследовательский центр Trellix опубликовал результаты исследования 15-летней уязвимости в Python — CVE-2007-4559. Судя по оценкам, ошибка присутствует в более чем 350 тыс. проектов с открытым исходным кодом и встречается в проектах с закрытым исходным кодом.
Уязвимость находится в модуле tarfile, который является модулем по умолчанию в любом проекте, использующем Python, и возникает из-за отсутствия очистки файлов перед вызовом функций extract() и extractall(). Ошибка позволяет злоумышленнику перезаписывать произвольные файлы, а значит, не составит труда загрузить вредоносный файл для выполнения произвольного кода.
Эксперты считают, что более 70 тысяч проектов получат исправления в ближайшее время. Из-за огромного количества затронутых репозиториев исправление всех ошибок будет чрезвычайно сложной задачей, которая может занять годы.