CVE-2022-38792

Esto no es un error, es una puerta trasera. Se descubrió que el paquete exotel en PyPI, a partir de la versión 0.1.6, contenía funcionalidad de ejecución de código insertada deliberadamente por un tercero. Cualquier proyecto que instalara esa versión introdujo código controlado por el atacante directamente en su compilación y su tiempo de ejecución, lo que significa que el compromiso ocurre en el momento de la instalación, antes incluso de que la aplicación se ejecute.

Los paquetes maliciosos son una clase de amenaza distinta de las vulnerabilidades ordinarias: no hay un exploit que lanzar porque la carga útil ya reside dondequiera que se haya instalado el paquete. El daño realista depende de dónde aterrizó, laptops de desarrolladores, ejecutores de CI, servicios de producción, y una puerta trasera en una biblioteca de integración de telefonía está bien posicionada para exfiltrar credenciales o abrir un canal hacia afuera. Eliminarla es necesario pero no suficiente; las máquinas que la ejecutaron deben tratarse como tocadas.

Esto es de lleno un problema de higiene de dependencias y SBOM para nosotros. Necesitamos buscar en los manifiestos de compilación y archivos de bloqueo de cada proyecto Python la presencia de exotel en la versión envenenada, purgarla, y luego triar cualquier cosa que la instalara como un potencial compromiso, rotando los secretos que esos entornos albergaran. Un número CVSS es casi irrelevante; el hecho accionable es 'está este paquete presente en algún lugar donde compilamos o ejecutamos código'.