CVE-2023-49297
Açıklama
PyDrive2, birçok yaygın Google Drive API V2 görevini basitleştiren google-api-python-client kütüphanesinin bir sarmalayıcı (wrapper) kütüphanesidir. Güvensiz YAML serisizleştirme işlemi, rastgele kod çalıştırılmasıyla sonuçlanacaktır. Kötü niyetle oluşturulmuş bir YAML dosyası, PyDrive2 ile aynı dizinde çalıştırılırsa veya `LoadSettingsFile` aracılığıyla yüklenirse rastgele kod çalışmasına neden olabilir. Bu, aynı dizinde kötü amaçlı bir yaml dosyası varken bu paket üzerinden GoogleAuth başlatan tüm kullanıcıları etkileyecek bir serisizleştirme saldırısıdır. Bu güvenlik açığı, dosyanın doğrudan kod aracılığıyla yüklenmesini gerektirmez, sadece mevcut olması yeterlidir. Bu sorun, sürüm `1.16.2` içerisinde yer alan `c57355dc` commit'i ile giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- iterative pydrive21.16.2 ya da sonraki bir sürüm
- pydrive21.16.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| iterative pydrive2 | v < 1.16.2, 1.17.0 | 1.16.2 |
| pydrive2PyPI | Aralık belirtilmemiş, v < 1.16.2 | 1.16.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.