- Yama var
- Son 7 gün
- CWE-93
CVE-2026-113715
virtualenv'de Venv yapılandırma okuması yol sınırlarını yanlış yorumlayabiliyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
virtualenv, izole Python sanal ortamları oluşturmaya yarayan bir araçtır. 21.14.9 sürümünden önce, stdlib venv oluşturucusu üretilen pyvenv.cfg dosyasını str.splitlines ile okuyor ve ayrıştırılan anahtarları virtualenv'in seçtiği yapılandırmanın üzerine birleştiriyordu. Hedef yol adını etkileyebilen güvenilmeyen bir çağıran, U+2028 gibi bir satır sonu karakteri ekleyerek home ve include-system-site-packages dahil anahtarlar enjekte edebiliyordu; bu da son çıktı üretilmeden önce yol verisinin yapılandırma yapısını değiştirmesine yol açıyordu. include-system-site-packages değerinin true olarak ayarlanması ortam izolasyonunu zayıflatır; değiştirilmiş home ise saldırgan bu konumu da kontrol ediyorsa, yorumlayıcının yüklediği standart kütüphane dosyalarını değiştirebilir. Yerleşik oluşturucu bu okuma yolunu kullanmaz. Bu sorun 21.14.9 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.9, the stdlib venv creator reads generated pyvenv.cfg with str.splitlines() and merges parsed keys over virtualenv's selected configuration. An untrusted caller who influences the destination pathname can include a line-boundary character such as U+2028 to inject keys including home and include-system-site-packages, causing path data to change configuration structure before final output. Setting include-system-site-packages to true weakens environment isolation, while an altered home can change which standard-library files the interpreter loads if the attacker also controls that location. The builtin creator does not use this readback path. This issue is fixed in version 21.14.9.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| pypa virtualenv | < 21.14.9 | 21.14.9 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.