CVE-2024-28397

Exploitation d’une faille de sécurité dans la librairie Python js2py

Une vulnérabilité de type injection de code, identifiée comme CVE-2024-28397, a été découverte dans la librairie Python js2py. Cette librairie est utilisée pour traduire et interpréter du code JavaScript en Python.

Points Clés :

• La vulnérabilité affecte la fonction js2py.disable_pyimport(), conçue pour créer un environnement isolé (sandbox) afin d’empêcher l’importation de modules Python depuis le JavaScript.
• L’exploitation de cette faille permet à un attaquant de contourner le mécanisme de sandbox.

Vulnérabilité :

• CVE : CVE-2024-28397
• Type : Injection de code (Code Injection)
• Impact : Permet à un attaquant de s’échapper de l’environnement sandbox et d’exécuter du code arbitraire dans l’environnement Python.
• Versions affectées : js2py versions jusqu’à et incluant la 0.74.

Recommandations :

Bien que l’article ne détaille pas explicitement les recommandations, la nature de la vulnérabilité implique la nécessité de mettre à jour la librairie js2py vers une version corrigée dès qu’elle sera disponible. Il est également conseillé de revoir les configurations de sécurité des applications utilisant cette librairie pour atténuer les risques potentiels.

Source