Podatności AnyIO

AnyIO to framework asynchronicznej współbieżności i sieci działający na Trio lub asyncio. Przed wersją 4.14.2 funkcje connect_tcp() i TLSStream.wrap() mogą walidować zinternacjonalizowane nazwy hostów po konwersji przez bibliotekę standardową z użyciem IDNA 2003 zamiast IDNA 2008. Gdy połączenie z domeną nie-ASCII zostanie przejęte lub przekierowane, atakujący może uzyskać prawidłowy certyfikat dla innej nazwy hosta ASCII wygenerowanej przez IDNA 2003 i przedstawić go klientowi, co spowoduje walidację certyfikatu złośliwego punktu końcowego.

W frameworku AnyIO przed wersją 4.14.2 procesy robocze puli procesów były uruchamiane ze standardowym błędem podłączonym do potoku, którego rodzic nigdy nie opróżniał. Kod roboczy zapisujący wystarczającą ilość danych do sys.stderr mógł zapełnić potok i zablokować się przed zwróceniem odpowiedzi, powodując trwałe zablokowanie oczekującego wywołania puli procesów.

W bibliotece AnyIO w wersji 4.14.0 funkcja open_process() przekazuje argument group do backendu zamiast extra_groups, mimo że akceptuje parametr extra_groups. Wywołanie z extra_groups=[] w celu wyczyszczenia odziedziczonych grup dodatkowych może uruchomić proces potomny zachowujący grupy procesu nadrzędnego, osłabiając granicę obniżania uprawnień. Podatność dotyczy aplikacji POSIX korzystających z pomocników podprocesów AnyIO i jest naprawiona w wersji 4.14.2.