setuptoolsは、Pythonパッケージのダウンロード、ビルド、インストール、アップグレード、アンインストールを可能にするパッケージです。CVE-2025-47273は、setuptoolsのPackageIndexにおけるパス・トラバーサル脆弱性であり、攻撃者が任意の場所にファイルを書き込める可能性があります。この脆弱性は、setuptoolsのバージョン9.1以下の環境に影響を与え、バージョン78.1.1で修正されました。
この脆弱性を悪用されると、攻撃者はPythonコードを実行する権限でシステム上の任意の場所にファイルを書き込むことが可能になります。これにより、システムの設定ファイルを改ざんしたり、悪意のあるコードを実行したりするなど、深刻な被害が発生する可能性があります。特に、setuptoolsを使用してパッケージをインストールする際に、攻撃者が悪意のあるパッケージを仕込むことで、システム全体が制御下に置かれるリスクがあります。この脆弱性は、Log4Shellのような広範囲な影響を及ぼす可能性も秘めています。
この脆弱性は、2025年5月17日に公開されました。現時点では、KEVに登録されていません。公的なPoCは確認されていませんが、パス・トラバーサル脆弱性であるため、悪用される可能性は否定できません。NVDおよびCISAの情報を注視し、最新の脅威動向を把握することが重要です。
Development environments utilizing Python and setuptools are at risk. Continuous integration/continuous deployment (CI/CD) pipelines that automatically install Python packages are particularly vulnerable, as they could be exploited to inject malicious code into deployed applications. Organizations using custom Python scripts or tools that rely on setuptools for package management should also prioritize remediation.
• python / package-manager:
Get-Package -Name setuptools | Select-Object Version• python / package-manager:
python -m pip show setuptools• generic web: Check for unusual files or directories created during package installation or upgrade processes. Monitor system logs for suspicious file access attempts. • generic web: Review Python scripts for calls to setuptools functions that handle file paths, looking for potential path traversal vulnerabilities.
disclosure
エクスプロイト状況
EPSS
0.49% (65% パーセンタイル)
CISA SSVC
この脆弱性への対応策として、まずsetuptoolsをバージョン78.1.1以上にアップグレードすることを推奨します。アップグレードが困難な場合は、一時的な回避策として、Pythonコードを実行する際に、信頼できるディレクトリのみにファイルが書き込まれるように制限するなどの対策を講じることが考えられます。また、WAFやプロキシサーバーを使用して、悪意のあるファイル書き込みリクエストをブロックすることも有効です。脆弱性スキャンツールを使用して、システム全体を定期的にスキャンし、潜在的なリスクを早期に発見することも重要です。アップグレード後、python -m setuptools --versionコマンドでバージョンを確認し、修正が適用されていることを確認してください。
Actualice setuptools a la versión 78.1.1 o superior. Puede hacerlo utilizando el gestor de paquetes pip con el comando `pip install --upgrade setuptools`. Esto corregirá la vulnerabilidad de path traversal.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-47273は、setuptoolsのPackageIndexにおけるパス・トラバーサル脆弱性であり、攻撃者が任意の場所にファイルを書き込める可能性があります。
setuptoolsのバージョンが9.1以下の場合は、影響を受ける可能性があります。バージョン78.1.1以上にアップグレードしてください。
setuptoolsをバージョン78.1.1以上にアップグレードしてください。アップグレードが困難な場合は、一時的な回避策として、ファイル書き込みの制限を検討してください。
現時点では公的なPoCは確認されていませんが、悪用される可能性は否定できません。
setuptoolsの公式アドバイザリは、[https://github.com/pypa/setuptools/security/advisories](https://github.com/pypa/setuptools/security/advisories)で確認できます。
CVSS ベクトル
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。