GHSA-5w9q-gw92-3wq8 : rrs PyPI capture l’écran et divulgue l’identité de l’hôte
Veille sécuritéSupply chain & dépendances
P3Élevée

Le CLI rrs, identifié comme malveillant, capture une image complète de l’écran au démarrage et l’envoie à un webhook Discord ; il publie également des informations d’identité sur un broker MQTT public.

PyPIpipPythonMQTT
IdentifiantGHSA-5W9Q-GW92-3WQ8
EPSS—
Exploitationnon connue / non déterminée
CorrectifÀ vérifier

Analyse technique

Au lancement du CLI, un thread capture l’écran via la bibliothèque mss et transmet l’image avec le nom d’hôte, l’utilisateur, l’OS, l’adresse IP locale et l’horodatage à un webhook Discord. Une autre fonction publie périodiquement une identité d’hôte sur un topic MQTT public.

Impact, versions et correctif

VecteurExécution de la commande rrs après installation du paquet PyPI.
PréconditionsInstaller puis lancer une version affectée de rrs.
ImpactExfiltration de contenus visibles à l’écran, potentiellement incluant secrets, messages, données personnelles et jetons ; exposition de l’identité de la machine sur MQTT public.
Versions affectées= 0.1.0 ; = 0.1.3 ; = 0.1.4 ; = 0.1.5 ; = 0.1.7 ; = 0.1.8 ; = 0.2.0 ; = 0.2.1 ; = 0.2.2 ; = 0.3.5 ; = 0.3.100 ; = 0.3.101 ; = 0.4.102 ; = 0.4.103 ; = 0.4.104 ; = 0.4.105 ; = 0.4.106 ; = 0.4.107 ; = 0.4.108 ; = 0.4.109
ContournementNe plus exécuter le CLI et supprimer les versions affectées des environnements Python.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-21T06:30:32Z
Mise à jour2026-09-21T18:31:38Z

Détection / vérification

Rechercher rrs dans les environnements et historiques pip. Examiner les accès à Discord webhook, les connexions à broker.hivemq.com:1883 et les publications sur le topic rrs/v1/presence.

Action recommandée

Désinstaller immédiatement le paquet, examiner les captures ou transmissions réalisées et renouveler les secrets potentiellement visibles sur les écrans lors de l’exécution.

Sources

Priorisation DFS : P3 · confiance de recoupement standard · 1 source(s).

, ,