PT-2020-10462 · None+6 · Pyyaml+6
Publicado
2019-11-18
·
Atualizado
2022-01-01
·
CVE-2019-20477
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
PyYAML versões 5.1 a 5.1.2
Descrição
O problema está relacionado a restrições insuficientes nas funções
load e load all do PyYAML, devido a uma falha na desserialização de classes. Isso pode ser explorado, por exemplo, por meio da classe Popen no módulo subprocess. O problema surgiu de uma correção incompleta de uma vulnerabilidade anterior.Recomendações
Para as versões 5.1 a 5.1.2 do PyYAML, considere desativar o uso das funções
load e load all até que uma correção adequada esteja disponível. Restrinja a desserialização de classes para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Exploit
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Pyyaml
Red Hat
Rocky Linux