热点事件持续更新

virtualenv 删除失败恢复可改符号链接目标权限

1 篇报道1 个报道来源22 小时前更新

先了解这件事

AI 综述

virtualenv 的 safe_delete() 在删除失败、进入权限恢复分支时，用 lstat() 读取符号链接自身的权限位，却通过会跟随链接的 chmod() 应用，导致只读目录内符号链接指向的目标文件权限被改为 0777。GitHub 安全公告库称，该错误处理逻辑自 21.7.5 引入，触发需删除在符号链接条目上失败，且调用用户拥有目标文件、可修改其权限，目标初始对该用户不可写；root 不会进入该失败路径。该问题已在 21.14.9 修复，PR #3427 避免在删除失败时修改 POSIX 权限。

AI 根据报道生成 · 15 小时前更新

最新进展10月22日 05:31

virtualenv 删除失败恢复逻辑可改变符号链接目标权限（21.7.5 起，PR #3427 修复）

报道时间线

沿着报道，了解事件的不同侧面。

10月22日

05:31
GitHub 安全公告库 (GHSA)
virtualenv 删除失败恢复逻辑可改变符号链接目标权限（21.7.5 起，PR #3427 修复）
virtualenv 的 safe_delete() 在删除失败恢复权限时用 lstat() 读取符号链接自身权限位，却用会跟随链接的 chmod() 应用，导致只读目录内符号链接指向的目标文件权限被改为 0777。该错误处理逻辑自 21.7.5 引入，需删除失败且调用用户拥有目标文件并可修改其权限，root 不会进入该路径。PR #3427 已避免在删除失败时修改 POSIX 权限。

本事件热度走势

可比范围当前: 5
可比范围峰值: 810月22日 12:00
近 24 小时变化: –

趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。