CVE-2025-61765

python-socketio, Socket.IO real-time klient və serverinin Python tətbiqidir. python-socketio-nun 5.14.0 versiyasından əvvəlki versiyalarında mövcud olan uzaqdan kodun icrası zəifliyi, hücumçunun serverlərin daxili kommunikasiya üçün istifadə etdiyi mesaj növbəsinə (message queue) daha öncə giriş əldə etdiyi çoxserverli yerləşdirmələrdə, zərərli pickle deserializasiyası vasitəsilə ixtiyari Python kodunun icrasına şərait yaradır. Socket.IO serverləri serverlərərarası kommunikasiya üçün Redis kimi mesaj növbəsi backend-indən istifadə etmək üçün konfiqurasiya edildikdə, serverlər arasında göndərilən mesajlar Python-un `pickle` modulu ilə şifrələnir. Server bu mesajlardan birini mesaj növbəsi vasitəsilə aldıqda, onun etibarlı olduğunu fərz edir və dərhal deserializasiya edir. Zəiflik, mesajların Python-un `pickle.loads()` funksiyası ilə deserializasiyasından qaynaqlanır. Mesaj növbəsinə öncə giriş əldə etmiş hücumçu, python-socketio serverinə Python-un `__reduce__` metodu vasitəsilə deserializasiya zamanı ixtiyari kodu icra edən xüsusi hazırlanmış pickle faylı göndərə bilər. Bu zəiflik yalnız kompromisə uğramış mesaj növbəsinə malik yerləşdirmələrə təsir edir. Hücum, hücumçunun Socket.IO server prosesinin kontekstində və imtiyazları ilə təsadüfi kod icra etməsinə səbəb ola bilər. Mesaj növbəsindən istifadə etməyən təkserverli sistemlər və təhlükəsiz mesaj növbəsinə malik çoxserverli sistemlər bu zəifliyə qarşı həssas deyil. Mesaj növbəsinin yerləşdirilməsində standart təhlükəsizlik təcrübələrinin tətbiq edildiyindən əmin olmaqla yanaşı, python-socketio paketindən istifadə edənlər `pickle` modulunu kənarlaşdıran və serverlərərarası mesajlaşma üçün daha təhlükəsiz JSON şifrələməsindən istifadə edən 5.14.0 və ya daha yeni versiyaya yüksələ bilərlər.