阿里云漏洞库
高危漏洞
CVE 漏洞库
非CVE漏洞库
安全社区
搜索
NVD
应用程序
CVE-2019-13404
MSI installer for Python 访问控制错误漏洞
CVE编号
CVE-2019-13404
利用情况
暂无
补丁情况
N/A
披露时间
2019-07-08
漏洞描述
**有争议**在Windows上,从2.7.16版本到Python的MSI安装程序默认为C:\Python27目录,这使得本地用户更容易部署木马代码。(这也会影响3.5之前的旧3.x版本。)注意:供应商的立场是,用户有责任确保C:\Python27的访问控制或选择其他目录,因为向后兼容要求C:\Python27仍然默认是2.7.x。
解决建议
目前厂商暂未发布修复措施解决此安全问题,建议使用此软件的用户随时关注厂商主页或参考网址以获取解决办法:
https://www.python.org/
参考链接
https://docs.python.org/2/faq/windows.html
受影响软件情况
#
类型
厂商
产品
版本
影响面
1
运行在以下环境
应用
python
python
*
Up to
(including)
2.7.16
运行在以下环境
应用
python
python
*
From
(including)
3.0.0
Up to
(excluding)
3.5.0
CVSS3评分
7.8
攻击路径
本地
攻击复杂度
低
权限要求
无
影响范围
未更改
用户交互
需要
可用性
高
保密性
高
完整性
高
CWE-ID
漏洞类型
CWE-552
对外部实体的文件或目录可访问
阿里云安全产品覆盖情况
云安全中心
WAF
云防火墙
RASP
Exp相关链接
×
https://github.com/alidnf/CVE-2019-13404