virtualenv の activate スクリプトで、プロンプト文字列がコマンドとして実行されうる

何が起きたか

virtualenv に渡すプロンプトや作成先の値が、生成される activate スクリプト内で実行可能な構文になりうる問題が2件公表されました。1件は bash 系で、dash で activate を直接読み込む場合、bash から export された PS1 を子の dash が引き継ぐ場合、bash の互換レベルが 4.2 以下の場合に、プロンプト表示のたびに値の中のコマンドが実行されます。もう1件は xonsh で、GBK や Big5 などの文字コードで activate.xsh を読むと引用符のエスケープが崩れ、有効化時に任意の文が実行されます。いずれも攻撃者が virtualenv に渡す値を操作でき、利用者がその環境を有効化することが条件です。