CVE-2021-38305
Açıklama
3.0.8 sürümünden önceki 23andMe Yamale, özel olarak hazırlanmış bir şema dosyası aracılığıyla uzaktaki saldırganların rastgele kod çalıştırmasına izin verir. Şema ayrıştırıcısı, işleminin bir parçası olarak eval kullanır ve eval'e aktarılan yerleşik fonksiyonları sınırlayarak kötü niyetli ifadelerden korunmaya çalışır. Şema işlenirken, doğrulayıcıyı kullanılabilir hale getirmek için her satır Python'un eval fonksiyonundan geçirilir. Şema kuralları içinde iyi yapılandırılmış bir dize sistem komutlarını çalıştırabilir; bu nedenle, zafiyeti istismar eden bir saldırgan, Yamale'yi çağıran imaj üzerinde rastgele kod çalıştırabilir.
Nasıl düzeltilir
- 23andme yamale3.0.8 ya da sonraki bir sürüm
- yamale3.0.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 23andme yamale | v < 3.0.8 | 3.0.8 |
| yamalePyPI | v < 3.0.8 | 3.0.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.