> ## Content Index
> Fetch the complete content index at: https://preadmin26.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# В Python нашли не закрытую 15 лет назад уязвимость
- URL: https://preadmin26.kod.ru/6465/
- Published: 2022-09-23T03:45:46.000Z
- Updated: 2022-09-23T03:45:46.000Z
- Description: Под ударом сейчас находится более 350 тысяч проектов с открытым исходным кодом.
- Author: Игорь Савкин
- Tags: News, #Import 2026-10-15 05:40

В Python так и не закрыли уязвимость, найденную ещё в 2007 году, утверждается в [отчёте](https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html?ref=preadmin26.kod.ru) Trellix. Под ударом сейчас находится более 350 тысяч проектов с открытым исходным кодом.

Как пишет Bleeping Computer, в связи с тем, что ее не могли устранить так долго, она проникла в несколько сотен тысяч проектов, написанных на Python. Проблема CVE-2007-4559 была найдена в пакете tarfile и относится к типу path traversal (обход каталога), то есть позволяет злоумышленнику перезаписывать произвольные файлы. 

В 2007 году уязвимость обнаружили, но не исправили, и единственным возможным решением проблемы сочли обновление документации, предупреждающее разработчиков о возможном риске.

На оставшуюся дыру обратили внимание специалисты компании Trellix, описывающие ее следующим образом: 

> Уязвимость существует из-за того, что код в функции extract в Python-модуле tarfile доверяет информации в объекте TarInfo.

Компания Trellix, специалисты которой и обнаружили уязвимость, [создала](https://github.com/advanced-threat-research/Creosote?ref=preadmin26.kod.ru) свой инструмент под названием Creosote, помогающий искать CVE-2007-4559\. Именно с его помощью исследователи нашли уязвимость в Spyder Python IDE и Polemarch. Кроме того, эксперты Trellix уже подготовили исправления более чем для 11 000 проектов. Исследователи ожидают, что более 70 000 репозиториев получат исправления в ближайшие несколько недель.