CVE-2025-62515
Açıklama
pyquokka, zaman serileri için veri göllerinin çalışmasını sağlayan bir çerçevedir. 0.3.1 ve önceki sürümlerde, FlightServer sınıfı, do_action() yöntemi içerisinde Flight istemcilerinden alınan işlem gövdelerini herhangi bir temizleme veya doğrulama yapmadan deserialize etmek için doğrudan pickle.loads() kullanmaktadır. Savunmasız kod, Flight istemcilerinden gelen rastgele verilerin doğrudan pickle.loads() fonksiyonuna iletildiği pyquokka/flight.py dosyasının 283. satırında yer almaktadır. FlightServer'ın 0.0.0.0 üzerinde dinleyecek şekilde yapılandırılması durumunda bu durum, saldırganların set_configs işlemi aracılığıyla kötü amaçlı pickle yükleri göndererek tüm ağ üzerinden rastgele uzaktan kod çalıştırma gerçekleştirmesine olanak tanır. Güvenilmeyen uzak verileri deserialize etmek için pickle.loads kullanılan cache_garbage_collect, do_put ve do_get fonksiyonlarında ek güvenlik açığı noktaları bulunmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pyquokkaPyPI | v ≤ 0.3.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.