CVE-2026-64847
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W frameworku AnyIO przed wersją 4.14.2 procesy robocze puli procesów były uruchamiane ze standardowym błędem podłączonym do potoku, którego rodzic nigdy nie opróżniał. Kod roboczy zapisujący wystarczającą ilość danych do sys.stderr mógł zapełnić potok i zablokować się przed zwróceniem odpowiedzi, powodując trwałe zablokowanie oczekującego wywołania puli procesów.
Ocena ryzyka
Aplikacje uruchamiające niezaufany lub wadliwy kod roboczy mogą doświadczyć trwałego zawieszenia operacji puli procesów, prowadząc do odmowy usługi.
Rekomendacja
Zaktualizuj AnyIO do wersji 4.14.2 lub nowszej, która prawidłowo obsługuje strumienie standardowe procesów roboczych.
Inne podatności w AnyIO
Zobacz wszystkie- CVE-2026-63349Wysokie
W bibliotece AnyIO w wersji 4.14.0 funkcja open_process() przekazuje argument group do backendu zamiast extra_groups, mimo że akceptuje parametr extra_groups. Wywołanie z extra_groups=[] w celu wyczyszczenia odziedziczonych grup dodatkowych może uruchomić proces potomny zachowujący grupy procesu nadrzędnego, osłabiając granicę obniżania uprawnień. Podatność dotyczy aplikacji POSIX korzystających z pomocników podprocesów AnyIO i jest naprawiona w wersji 4.14.2.
- CVE-2026-63374Krytyczne
Usługi korzystające z międzynarodowych (nie-ASCII) nazw domen mogą być podatne na ataki podczas połączeń TLS nawiązywanych przez funkcję `connect_tcp()` lub bezpośrednio przez `TLSStream.wrap()`. Jeśli połączenie zostanie przechwycone i przekierowane do złośliwego serwera, istnieje ryzyko naruszenia bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
AnyIO is a high level asynchronous concurrency and networking framework that works on top of either Trio or asyncio. Prior to 4.14.2, AnyIO starts process-pool workers with standard error connected to a pipe that the parent never drains, even though the documented behavior redirects all three standard streams. Worker code that writes enough attacker-influenced data to sys.stderr can fill the pipe and block before returning the standard-output protocol response, causing the awaiting process-pool call to remain blocked indefinitely. Applications that run untrusted or faulty worker code capable of producing substantial standard-error output are affected. This issue is fixed in version 4.14.2.