تجاوز فحص حزمة المهارات في Highflame ramparts من الإصدار 0.8.1 حتى 0.8.10 عبر ملفات .pyc متداخلة

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Highflame ramparts من الإصدار 0.8.1 حتى 0.8.10 على ثغرة تجاوز فحص الأمان التي تسمح للمهاجمين بإخفاء حمولات خبيثة لأن collect_bundle_siblings وwalk_bundle_subdir يتخطيان الدลلات المتداخلة وملفات .pyc. يمكن للمهاجمين توزيع حزمة مهارات تحتوي على ملف .pyc غير مُفحَص الهاش تحت scripts/<subdir>/__pycache__/ تتجاهله ramparts بصمت، بينما يقوم CPython بتنفيذه عند تشغيل المهارة.

المعالجة

1. أحصِ جميع نشرات highflame-ai ramparts، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://www.vulncheck.com/advisories/highflame-ramparts-0.8.1-through-0.8.10-skill-bundle-scan-bypass-via-nested-pyc
• مرجعhttps://github.com/highflame-ai/ramparts/issues/154
• مرجعhttps://github.com/highflame-ai/ramparts/blob/v0.8.10/src/skills.rs#L898
• مرجعhttps://github.com/highflame-ai/ramparts