CVE-2022-38792

Isto não é um bug, é um backdoor. Descobriu-se que o pacote exotel no PyPI, a partir da versão 0.1.6, continha funcionalidade de execução de código deliberadamente inserida por um terceiro. Qualquer projeto que instalou essa versão puxou código controlado pelo atacante diretamente para dentro de seu build e runtime, ou seja, o comprometimento acontece no momento da instalação, antes mesmo de a aplicação rodar.

Pacotes maliciosos são uma classe de ameaça diferente das vulnerabilidades comuns: não há exploit a ser lançado porque o payload já está residente onde quer que o pacote tenha sido instalado. O dano realista depende de onde ele caiu, laptops de desenvolvedores, executores de CI, serviços de produção, e um backdoor em uma biblioteca de integração de telefonia está bem posicionado para exfiltrar credenciais ou abrir um canal de saída. Removê-lo é necessário, mas não suficiente; as máquinas que o executaram devem ser tratadas como tocadas.

Isto é, para nós, um problema claramente de higiene de dependências e SBOM. Precisamos vasculhar manifestos de build e arquivos de lock em todos os projetos Python em busca do exotel na versão envenenada, expurgá-lo e, então, triar qualquer coisa que o instalou como um potencial comprometimento, rotacionando os segredos que esses ambientes mantinham. Um número de CVSS é quase irrelevante; o fato acionável é 'este pacote está presente em algum lugar onde construímos ou executamos código'.