GHSA-XMJ3-9GF7-H52W

setuptools: Windows path escape via namespace_packages.txt during legacy wheel installation Description

CVSS 3.1Low

N/A/ 10.0

Опубликовано

23 октября 2026 г.

Обновлено

23 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 84.1.0

Обновить setuptools до версии с исправлением проверки путей в _fix_namespace_packages или отказаться от легаси-установки wheel через install_as_egg.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В setuptools при установке legacy wheel на Windows возможен выход за пределы целевой директории через namespace_packages.txt. Злоумышленник может создать пустой файл __init__.py в произвольном каталоге файловой системы.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Дефект находится в методе Wheel.install_as_egg модуля setuptools/wheel.py в цепочке вызовов _convert_metadata -> _fix_namespace_packages. Парсер namespace_packages.txt в .dist-info не нормализует пути в Windows, что позволяет через path traversal выйти за границы destination_eggdir.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Неконтролируемое создание файлов __init__.py вне целевой директории. Содержимое файла фиксировано, но создание файла в системных или рабочих каталогах может нарушить логику импорта модулей Python или привести к DoS.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 38.2.2➔Fix: 84.1.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)

github.comhttps://github.com/pypa/setuptools/security/advisories/GHSA-xmj3-9gf7-h52w
github.comhttps://github.com/pypa/setuptools/pull/5329
github.comhttps://github.com/pypa/setuptools/commit/6d07b8d17890dda58d944ac51e58f54af92d52af
github.comhttps://github.com/pypa/setuptools
github.comhttps://github.com/pypa/setuptools/releases/tag/v84.1.0

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости GHSA-XMJ3-9GF7-H52W: setuptools: Windows path escape via namespace_packages.txt during legacy wheel installation Description. URL: https://cve.futuretools.ru/cve/GHSA-XMJ3-9GF7-H52W

BibTeX формат (LaTeX)

@misc{cve_futuretools_ghsa_xmj3_9gf7_h52w,
  title = {{GHSA-XMJ3-9GF7-H52W: setuptools: Windows path escape via namespace_packages.txt during legacy wheel installation  Description}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-XMJ3-9GF7-H52W}},
  note = {Оперативный инженерный анализ киберугроз}
}