PT-2024-39977 · Pypi · Pyo3
CVE-2024-9979
·
Publicado
2024-10-12
·
Atualizado
2025-01-27
CVSS v3.1
5.3
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L |
Nome do software vulnerável e versões afetadas
Versões do PyO3 anteriores à 0.22.4
PyO3 versão 0.22.4 (com funções mitigadas, a serem totalmente removidas na versão 0.23)
Descrição
Foi encontrada uma falha no PyO3, causando um problema de uso após liberação de memória. Isso pode levar à corrupção de memória ou a falhas de sistema devido ao empréstimo incorreto de referências fracas do Python. O problema surge porque a referência fraca não detém a propriedade do valor, e a última referência forte pode ser liberada a qualquer momento, deixando o valor emprestado sem referência.
Recomendações
Para versões do PyO3 anteriores à 0.22.4, atualize para a versão 0.22.4 para aproveitar as funções mitigadas.
Para a versão 0.22.4 do PyO3, considere evitar o uso de funções obsoletas que leem valores “emprestados” de referências fracas do Python até que elas sejam totalmente removidas na versão 0.23.
Para todas as versões afetadas, aguarde o lançamento do PyO3 0.23, que removerá completamente as funções problemáticas.
Exploit
Correção
Use After Free
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Pyo3