CVE-2023-37271
Açıklama
RestrictedPython, kullanıcıların güvenilir bir ortama program girdisi sağlamasına olanak tanıyan Python dilinin bir alt kümesini tanımlamaya yardımcı olan bir araçtır. RestrictedPython, yığın çerçevelerine (stack frames) ve bunların özniteliklerine erişimi denetlemez. Yığın çerçeveleri, RestrictedPython içinde izin verilen jeneratörler ve jeneratör ifadeleri dahil olmak üzere en azından bu yapılar üzerinden erişilebilirdir. Versiyonlar 6.1 ve 5.3 öncesinde, bir RestrictedPython ortamına erişimi olan bir saldırgan, bir jeneratör içindeki mevcut yığın çerçevesini alan ve ardından yığını RestrictedPython çağrı sınırının ötesine kadar takip eden bir kod yazabilir; böylece kısıtlanmış sandbox'tan çıkabilir ve potansiyel olarak Python yorumlayıcısında rastgele kod çalıştırılmasına izin verebilir. Güvenilmeyen kullanıcıların RestrictedPython ortamında Python kodu yazmasına izin veren tüm RestrictedPython kurulumları risk altındadır. Zope ve Plone açısından bu durum, yöneticinin güvenilmeyen kullanıcıların `Script (Python)`, `DTML Method`, `DTML Document` veya `Zope Page Template` türündeki nesneleri oluşturmasına ve/veya düzenlemesine izin verdiği kurulumlar anlamına gelir. Bu varsayılan olmayan bir yapılandırmadır ve muhtemelen son derece nadirdir. Sorun versiyonlar 6.1 ve 5.3 ile düzeltilmiştir.
Nasıl düzeltilir
- zope restrictedpython5.3 ya da sonraki bir sürüm
- restrictedpython5.3, 6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zope restrictedpython | v < 5.3, 6.0 | 5.3 |
| restrictedpythonPyPI | v < 5.3, 6.0a1.dev0 ≤ v < 6.1 | 5.3, 6.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.