CVE-2023-41039
Açıklama
RestrictedPython, güvenilmeyen kodları çalıştırmak için tasarlanmış kısıtlı bir Python yürütme ortamıdır. Python'ın "format" işlevi, format dizesini kontrol eden birinin, erişebildiği nesneler üzerinden özyinelemeli nitelik araması ve abonelik yoluyla erişilebilir tüm nesneleri "okumasına" olanak tanır. Bu durum kritik bilgi ifşasına yol açabilir. `RestrictedPython` ile format işlevine, `str` (ve `unicode`) sınıfının `format` ve `format_map` yöntemleri (sınıf veya örnekleri aracılığıyla) ve `string.Formatter` üzerinden erişilebilmektedir. `RestrictedPython`'ın bilinen tüm sürümleri bu zafiyete sahiptir. Bu sorun, 5.4 ve 6.2 sürümlerine dahil edilen `4134aedcff1` commit'i ile giderilmiştir. Kullanıcıların güncel sürüme yükseltmeleri önerilir. Bu zafiyet için bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- zope restrictedpython5.4, 6.2 ya da sonraki bir sürüm
- restrictedpython5.4, 6.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zope restrictedpython | v < 5.4, 6.0 ≤ v < 6.2 | 5.4, 6.2 |
| restrictedpythonPyPI | v < 5.4, 6.0 ≤ v < 6.2 | 5.4, 6.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.