CVE-2023-41039
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
RestrictedPython to środowisko ograniczonego wykonania dla Pythona, które pozwala na uruchamianie nieufnego kodu. Funkcjonalność 'format' Pythona umożliwia osobie kontrolującej ciąg formatowania 'odczyt' wszystkich obiektów dostępnych poprzez rekurencyjne wyszukiwanie atrybutów i subskrypcję z obiektów, do których ma dostęp, co może prowadzić do ujawnienia krytycznych informacji.
Ocena ryzyka
Ujawnienie krytycznych informacji może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji, umożliwiając atakującym dostęp do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację do wersji 5.4 lub 6.2, które zawierają poprawkę dla tej podatności. Nie ma znanych obejść dla tej podatności.
Inne podatności w RestrictedPython
Zobacz wszystkie- CVE-2026-55830Wysokie
RestrictedPython przed wersją 8.3 nieprawidłowo sprawdzał nazwy argumentów pozycyjnych, co pozwalało na przesłonięcie chronionych nazw haków (np. __getattr__, _getitem_, _write_, _print_) przez lokalne parametry. Luka umożliwia ominięcie polityki dostępu aplikacji osadzającej.
- CVE-2023-37271Wysokie
RestrictedPython to narzędzie, które definiuje podzbiór języka Python, umożliwiające użytkownikom wprowadzanie programów w zaufanym środowisku. W wersjach przed 6.1 i 5.3, atakujący mógł uzyskać dostęp do bieżącej ramki stosu w generatorze, co pozwalało na wyjście poza ograniczenia RestrictedPython i potencjalne wykonanie dowolnego kodu w interpreterze Pythona.
Oryginalny opis (angielski, źródło NVD)
RestrictedPython is a restricted execution environment for Python to run untrusted code. Python's "format" functionality allows someone controlling the format string to "read" all objects accessible through recursive attribute lookup and subscription from objects he can access. This can lead to critical information disclosure. With `RestrictedPython`, the format functionality is available via the `format` and `format_map` methods of `str` (and `unicode`) (accessed either via the class or its instances) and via `string.Formatter`. All known versions of `RestrictedPython` are vulnerable. This issue has been addressed in commit `4134aedcff1` which has been included in the 5.4 and 6.2 releases. Users are advised to upgrade. There are no known workarounds for this vulnerability.