setuptools
Opgelost in
78.1.2
78.1.1
CVE-2025-47273 beschrijft een Remote Code Execution (RCE) kwetsbaarheid in setuptools, een Python pakketbeheerder. Deze kwetsbaarheid stelt een aanvaller in staat om bestanden naar willekeurige locaties op het bestandssysteem te schrijven, met de rechten van het proces dat de Python code uitvoert. Dit kan leiden tot remote code execution, afhankelijk van de context. De kwetsbaarheid treft versies van setuptools tot en met 9.1, en is verholpen in versie 78.1.1.
De impact van deze RCE kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om willekeurige code uit te voeren op het systeem waar setuptools is geïnstalleerd. Dit kan leiden tot volledige controle over het systeem, inclusief het stelen van gevoelige informatie, het installeren van malware, of het gebruiken van het systeem als springplank voor aanvallen op andere systemen in het netwerk. De mogelijkheid om bestanden naar willekeurige locaties te schrijven, maakt deze kwetsbaarheid bijzonder gevaarlijk, aangezien de aanvaller de controle over de omgeving kan overnemen. Hoewel er geen directe overeenkomsten zijn met bekende exploits zoals Log4Shell, is de impact vergelijkbaar in termen van potentieel voor systeemcompromittering.
Deze kwetsbaarheid is openbaar bekend en de details zijn beschikbaar via het NVD. Er is geen informatie over actieve campagnes die deze kwetsbaarheid exploiteren, maar de publicatie van een proof-of-concept is waarschijnlijk. De KEV status is momenteel onbekend. De publicatiedatum van de CVE is 2025-05-17.
Development environments utilizing Python and setuptools are at risk. Continuous integration/continuous deployment (CI/CD) pipelines that automatically install Python packages are particularly vulnerable, as they could be exploited to inject malicious code into deployed applications. Organizations using custom Python scripts or tools that rely on setuptools for package management should also prioritize remediation.
• python / package-manager:
Get-Package -Name setuptools | Select-Object Version• python / package-manager:
python -m pip show setuptools• generic web: Check for unusual files or directories created during package installation or upgrade processes. Monitor system logs for suspicious file access attempts. • generic web: Review Python scripts for calls to setuptools functions that handle file paths, looking for potential path traversal vulnerabilities.
disclosure
Exploit Status
EPSS
0.49% (65% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-47273 is het upgraden naar setuptools versie 78.1.1 of hoger. Indien een directe upgrade niet mogelijk is vanwege compatibiliteitsproblemen, overweeg dan het implementeren van een Web Application Firewall (WAF) of proxy om verdachte verzoeken te blokkeren die proberen gebruik te maken van de path traversal kwetsbaarheid. Controleer ook de configuratie van setuptools en de Python omgeving om te zorgen voor minimale privileges voor de gebruiker die de Python code uitvoert. Het monitoren van logbestanden op verdachte activiteiten, zoals het schrijven van bestanden naar ongebruikelijke locaties, kan helpen bij het detecteren van pogingen tot exploitatie.
Actualice setuptools a la versión 78.1.1 o superior. Puede hacerlo utilizando el gestor de paquetes pip con el comando `pip install --upgrade setuptools`. Esto corregirá la vulnerabilidad de path traversal.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-47273 is a Remote Code Execution vulnerability in setuptools versions prior to 78.1.1, allowing attackers to write files to arbitrary locations and potentially achieve remote code execution.
You are affected if you are using setuptools versions 9.1 or earlier. Upgrade to 78.1.1 or later to resolve the vulnerability.
Upgrade setuptools to version 78.1.1 or later using pip: python -m pip install --upgrade setuptools==78.1.1.
There is currently no confirmed active exploitation, but the vulnerability's severity and widespread use of setuptools make it a high-priority concern.
Refer to the setuptools project's release notes and security advisories on their official website or GitHub repository for the latest information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.