PT-2021-3478 · Pypi+9 · Pyyaml+9
Ahmed Shah
+1
·
Publicado
2020-05-27
·
Atualizado
2025-12-29
·
CVE-2020-14343
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do PyYAML anteriores à 5.4
Descrição
Uma falha na biblioteca PyYAML permite a execução de código arbitrário ao processar arquivos YAML não confiáveis por meio do método
full load ou com o carregador FullLoader. Essa vulnerabilidade permite que um invasor execute código arbitrário no sistema explorando o construtor python/object/new. A vulnerabilidade se deve à validação incompleta de entradas ao lidar com dados não confiáveis, o que pode ser explorado por um invasor remoto usando um arquivo especialmente criado.Recomendações
Para versões anteriores à 5.4, considere evitar o uso do método
full load ou do carregador FullLoader ao processar arquivos YAML não confiáveis até que uma correção esteja disponível. Como solução alternativa temporária, restrinja o processamento de entradas não confiáveis para minimizar o risco de exploração.Exploit
Correção
Use After Free
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Linuxmint
Pyyaml
Red Hat
Rocky Linux
Suse
Ubuntu