PT-2021-23584 · Dask · Dask

Jcrist · Publicado 2021-10-26 · Atualizado 2026-06-16 · CVE-2021-42343

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Dask anteriores à 2021.10.0

Descrição

Foi descoberta uma falha no Dask em que clusters de Dask em uma única máquina iniciados com dask.distributed.LocalCluster ou dask.distributed.Client configuravam erroneamente seus respectivos workers do Dask para escutar em interfaces externas, em vez de apenas no localhost. Um cluster do Dask criado usando esse método poderia ser usado por um invasor sofisticado para executar código remotamente, caso a máquina tivesse uma porta vulnerável exposta.

Recomendações

Para versões anteriores à 2021.10.0, atualize para a versão 2021.10.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso aos workers do Dask para minimizar o risco de exploração. Evite usar dask.distributed.LocalCluster ou dask.distributed.Client em máquinas com portas expostas até que o problema seja resolvido.

Correção

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-668

Identificadores relacionados

CVE-2021-42343

GHSA-HWQR-F3V9-HWXR

GHSA-J8FQ-86C5-5V2R

OPENSUSE-SU-2024:11766-1

OPENSUSE-SU-2024:13920-1

OPENSUSE-SU-2026:11043-1

PYSEC-2021-387

PYSEC-2021-871

PYSEC-2021-872

Produtos afetados

Dask

Referências · 29

• https://github.com/dask/dask/tags · Nota
• https://github.com/dask/distributed/security/advisories/GHSA-hwqr-f3v9-hwxr · Nota
• https://github.com/dask/distributed · Nota
• https://github.com/dask/distributed/commit/afce4be8e05fb180e50a9d9e38465f1a82295e1b · Nota
• https://github.com/dask/distributed/pull/5427 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/dask/PYSEC-2021-387.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/distributed/PYSEC-2021-871.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/distributed/PYSEC-2021-872.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2021-871 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2021-42343 · Nota
• https://github.com/advisories/GHSA-j8fq-86c5-5v2r · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-42343 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hwqr-f3v9-hwxr · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-387 · Aviso do Fabricante
• https://docs.dask.org/en/latest/changelog.html · Aviso do Fabricante