Python setuptools easy_install命令任意代码执行漏洞

<a href="https://www.securityfocus.com/bid/61827" target="_blank">https://www.securityfocus.com/bid/61827</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201308-062" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201308-062</a><br/>

setuptools是Python软件基金会的PythonEnterpriseApplicationKit（PEAK）的一个副项目，它替换了标准的distutils库，并为Python添加了版本化的包和依赖性管理。PEAK是用来在Python中进行快速组件开发和代码重用的框架。Pythonsetuptools0.7之前的版本中的easy_install命令中存在安全漏洞，该漏洞源于程序使用HTTP协议对PyPl存储库中的程序包进行检索时，没有对其内容进行完整性检查。中间人攻击者可通过对产品默认使用的特制响应利用该漏洞执行任意代码。

来源:pypi.python.org
链接:https://pypi.python.org/pypi/setuptools/0.9.8#changes
来源:www.reddit.com
链接:http://www.reddit.com/r/Python/comments/17rfh7/warning_dont_use_pip_in_an_untrusted_network_a/