CVE-2023-41050
Açıklama
AccessControl, Zope içinde kullanılmak üzere genel bir güvenlik çerçevesi sağlar. Python'un "format" işlevi, format dizgesini kontrol eden birinin, erişilebilir nesneler üzerinden öznitelik erişimi ve abonelik yoluyla (özyinelemeli olarak) erişilebilen nesneleri "okumasına" olanak tanır. Bu öznitelik erişimleri ve abonelikler, politikanın kısıtladığı AccessControl varyantları olan `_getattr_` ve `_getitem_` yerine Python'un tam kapsamlı `getattr` ve `getitem` fonksiyonlarını kullanır. Bu durum kritik bilgi ifşasına yol açabilir. AccessControl halihazırda `str.format` için güvenli bir varyant sunmakta ve `string.Formatter` erişimini reddetmektedir. Ancak, `str.format_map` hala güvensizdir. Güvenilmeyen kullanıcıların AccessControl kontrollü Python kodu oluşturmasına ve bunu yürütmesine izin veren tüm kullanıcılar etkilenmektedir. Versiyon 4.4, 5.8 ve 6.2 ile bir düzeltme getirilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- zope accesscontrol4.4, 5.8, 6.2 ya da sonraki bir sürüm
- zope zope4.8.9, 5.8.4 ya da sonraki bir sürüm
- accesscontrol4.4, 5.8, 6.2 ya da sonraki bir sürüm
- zope4.8.9, 5.8.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zope accesscontrol | v < 4.4, 5.0 ≤ v < 5.8, 6.0 ≤ v < 6.2 | 4.4, 5.8, 6.2 |
| zope zope | v < 4.8.9, 5.0 ≤ v < 5.8.4 | 4.8.9, 5.8.4 |
| accesscontrolPyPI | v < 4.4, 5.0 ≤ v < 5.8, 6.0 ≤ v < 6.2 | 4.4, 5.8, 6.2 |
| zopePyPI | v < 4.8.9, 5.0.0 ≤ v < 5.8.4 | 4.8.9, 5.8.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.