15-летний Python-баг позволяет выполнить код и затрагивает 350 000 проектов

15-летний Python-баг позволяет выполнить код и затрагивает 350 000 проектов

15-летний Python-баг позволяет выполнить код и затрагивает 350 000 проектов

Уязвимость Python-модуля tarfile за 15 лет никто так и не пропатчил. А меж тем она затрагивает более 350 тысяч репозиториев с открытым исходным кодом и позволяет выполнить произвольный код.

Впервые о проблеме стало известно в 2007 году, ей присвоили идентификатор CVE-2007-4559. Интересно, что никто не стал устранять брешь, единственное — разработчиков просто предупредили о риске.

Брешь затрагивает код, использующий функцию tarfile.extract(). Это классический баг обхода пути (path traversal), позволяющий условному атакующему перезаписывать произвольные файлы.

Удивительно, что за все 15 лет не было сообщений об эксплуатации уязвимости, учитывая, что технические детали были доступны в отчете 2007 года. Тем не менее баг представляет опасность для цепочек поставки софта по моей день.

На оставшуюся дыру обратили внимание специалисты компании Trellix, описывающие ее следующим образом:

«Уязвимость существует из-за того, что код в функции extract в Python-модуле tarfile доверяет информации в объекте TarInfo».

Сообщение на площадке баг-трекера Python гласит, что вопрос был закрыт, поскольку документацию обновили, добавив приписку, что «распаковывать архивы из непроверенных источников может быть опасно».

Проанализировав масштаб проблемы, специалисты Trellix пришли к выводу, что уязвимость затрагивает более 350 тысяч проектов. В отчете исследователей описываются простые шаги, которых достаточно для эксплуатации CVE-2007-4559 в Windows-версии Spyder IDE.

Сбер разрешил возвращать случайные переводы через СБП без поддержки

«Сбер» запустил новую функцию в «Сбербанк Онлайн», которая позволяет самостоятельно вернуть отправителю перевод, пришедший через Систему быстрых платежей. Идея у сервиса вполне практичная: он должен снизить число мошеннических схем, построенных на так называемых случайных переводах.

Сценарий здесь давно известный. Человеку приходят деньги от незнакомца, а потом с ним связываются и просят вернуть сумму, но уже не туда, откуда она пришла, а на другие реквизиты или какой-нибудь «технический счёт».

В итоге жертва, сама того не понимая, может поучаствовать в выводе похищенных денег и фактически стать дропом.

Теперь в таких случаях деньги можно вернуть прямо в приложении на тот же адрес, с которого они были отправлены. То есть без переписок с неизвестными людьми, без поиска контактов отправителя и без обращения в поддержку банка.

В «Сбере» уточнили, что вернуть перевод таким способом можно в течение 10 дней с момента зачисления средств. Функция будет появляться у пользователей «Сбербанк Онлайн» на Android, начиная с версии 17.3.

Ранее похожий механизм уже работал внутри самого «Сбера» между его клиентами, а теперь возможность распространили и на переводы через СБП.

На фоне борьбы с дропперами новость выглядит вполне логично. В декабре 2025 года Банк России сообщал, что объём операций по подставным счетам снизился более чем втрое по сравнению с 2024-м.

RSS: Новости на портале Anti-Malware.ru