- Yama var
- Son 7 gün
- CWE-732
CVE-2026-113720
virtualenv: Önbellekten gelen eski izinler oluşturulan dosyalara aktarılıyor
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
virtualenv, izole Python sanal ortamları oluşturmaya yarayan bir araçtır. 21.14.9 sürümünden önce, uygulama veri kopyalama seeder'ı önbellekteki paket dosyalarını sonraki ortamlara kopyalamak için shutil.copy kullanıyordu; bu da önbelleğe alınmış kaynak dosya modlarının mevcut çalıştırmanın umask değerini geçersiz kılmasına neden oluyordu. Gevşek bir umask ile doldurulmuş bir önbellek, sonraki ve geçilebilir bir ortamda başka bir yerel hesap tarafından yazılabilen dosyalar üretebilir; bu da pip/__init__.py gibi paket kodunun değiştirilmesine ve ortam sahibi tarafından çalıştırılmasına olanak tanır. Saldırgan önceki umask değerini zorlayamaz ve özel bir hedef üst dizin erişimi engeller. Bu sorun 21.14.9 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.9, the app-data copy seeder uses shutil.copy() to copy cached package files into later environments, causing cached source modes to override the current run's umask. A cache populated under a permissive umask can therefore produce files writable by another local account in a later traversable environment, allowing package code such as pip/__init__.py to be modified and executed by the environment owner. The attacker cannot force the earlier umask, and a private destination parent prevents access. This issue is fixed in version 21.14.9.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| pypa virtualenv | < 21.14.9 | 21.14.9 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.