CVE-2026-63374
KrytyczneStreszczenie
Usługi korzystające z międzynarodowych (nie-ASCII) nazw domen mogą być podatne na ataki podczas połączeń TLS nawiązywanych przez funkcję `connect_tcp()` lub bezpośrednio przez `TLSStream.wrap()`. Jeśli połączenie zostanie przechwycone i przekierowane do złośliwego serwera, istnieje ryzyko naruszenia bezpieczeństwa.
Ocena ryzyka
Organizacje korzystające z AnyIO do komunikacji z domenami IDN mogą być narażone na ataki man-in-the-middle, co może prowadzić do przechwycenia lub modyfikacji przesyłanych danych.
Rekomendacja
Zaleca się monitorowanie komunikatów producenta AnyIO i zastosowanie poprawek, gdy tylko zostaną udostępnione. Do tego czasu należy zachować szczególną ostrożność przy połączeniach TLS z domenami międzynarodowymi.
Inne podatności w AnyIO
Zobacz wszystkie- CVE-2026-63349Wysokie
W bibliotece AnyIO w wersji 4.14.0 funkcja open_process() przekazuje argument group do backendu zamiast extra_groups, mimo że akceptuje parametr extra_groups. Wywołanie z extra_groups=[] w celu wyczyszczenia odziedziczonych grup dodatkowych może uruchomić proces potomny zachowujący grupy procesu nadrzędnego, osłabiając granicę obniżania uprawnień. Podatność dotyczy aplikacji POSIX korzystających z pomocników podprocesów AnyIO i jest naprawiona w wersji 4.14.2.
- CVE-2026-64847Średnie
W frameworku AnyIO przed wersją 4.14.2 procesy robocze puli procesów były uruchamiane ze standardowym błędem podłączonym do potoku, którego rodzic nigdy nie opróżniał. Kod roboczy zapisujący wystarczającą ilość danych do sys.stderr mógł zapełnić potok i zablokować się przed zwróceniem odpowiedzi, powodując trwałe zablokowanie oczekującego wywołania puli procesów.
Oryginalny opis (angielski, źródło NVD)
### Impact Services using internationalized (non-ASCII) domain names are potentially vulnerable to TLS connections made from AnyIO's `connect_tcp()` or directly via `TLSStream.wrap()` where the connection has (through other means) been hijacked and redirected to a malicious server. The attacker woul