CVE-2026-63374
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
AnyIO to framework asynchronicznej współbieżności i sieci działający na Trio lub asyncio. Przed wersją 4.14.2 funkcje connect_tcp() i TLSStream.wrap() mogą walidować zinternacjonalizowane nazwy hostów po konwersji przez bibliotekę standardową z użyciem IDNA 2003 zamiast IDNA 2008. Gdy połączenie z domeną nie-ASCII zostanie przejęte lub przekierowane, atakujący może uzyskać prawidłowy certyfikat dla innej nazwy hosta ASCII wygenerowanej przez IDNA 2003 i przedstawić go klientowi, co spowoduje walidację certyfikatu złośliwego punktu końcowego.
Ocena ryzyka
Atakujący może podszyć się pod zaufany punkt końcowy i doprowadzić do walidacji swojego certyfikatu, co umożliwia przechwycenie lub manipulację komunikacją.
Rekomendacja
Zaktualizuj AnyIO do wersji 4.14.2 lub nowszej.
Inne podatności w AnyIO
Zobacz wszystkie- CVE-2026-64847Średnie
W frameworku AnyIO przed wersją 4.14.2 procesy robocze puli procesów były uruchamiane ze standardowym błędem podłączonym do potoku, którego rodzic nigdy nie opróżniał. Kod roboczy zapisujący wystarczającą ilość danych do sys.stderr mógł zapełnić potok i zablokować się przed zwróceniem odpowiedzi, powodując trwałe zablokowanie oczekującego wywołania puli procesów.
- CVE-2026-63349Wysokie
W bibliotece AnyIO w wersji 4.14.0 funkcja open_process() przekazuje argument group do backendu zamiast extra_groups, mimo że akceptuje parametr extra_groups. Wywołanie z extra_groups=[] w celu wyczyszczenia odziedziczonych grup dodatkowych może uruchomić proces potomny zachowujący grupy procesu nadrzędnego, osłabiając granicę obniżania uprawnień. Podatność dotyczy aplikacji POSIX korzystających z pomocników podprocesów AnyIO i jest naprawiona w wersji 4.14.2.
Oryginalny opis (angielski, źródło NVD)
AnyIO is a high level asynchronous concurrency and networking framework that works on top of either Trio or asyncio. Prior to 4.14.2, connect_tcp() and TLSStream.wrap() can validate internationalized host names after the standard library converts them with IDNA 2003 instead of IDNA 2008. When a connection to a non-ASCII domain is hijacked or redirected, an attacker can obtain a legitimate certificate for the different ASCII hostname produced by IDNA 2003 and present it to the client, causing the malicious endpoint's certificate to validate. This issue is fixed in version 4.14.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS