Blender BPY_interface.c远程命令执行漏洞

发布日期：2008-10-27

更新日期：2008-10-28



受影响系统：



Blender Foundation Blender 2.48a

Debian Blender 2.46+dfsg-4



不受影响系统：



Debian Blender 2.46+dfsg-5



描述：BUGTRAQ ID: 31931



Blender是一款免费的3D建模软件。







Blender的BPY_interface调用PySys_SetArgv的方式允许Python向sys.path前附加空字符串。如果Blender的工作目录中包含的python文件与Blender的python脚本试图导入文件拥有相同文件名的话，这可能允许在用户系统中执行任意指令。



<*来源：James Vega （jamessan@debian.org）



链接：http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=503632

*>



建议：厂商补丁：



Debian

------

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：







http://bugs.debian.org/cgi-bin/bugrep ... ath.diff;att=1;bug=503632