Python 本地权限提升漏洞

漏洞描述

Python 是一种解释型、高级和通用的编程语言。

Python 的受影响版本在Linux系统中存在本地权限提升漏洞，当代码使用 multiprocessing 模块并且配置multiprocessing 来使用 forkserver 启动方法时，同一计算机本地网络命名空间中的任何用户通过反序列化 pickle 执行任意代码，本地攻击者可利用此漏洞将权限升级到任何 forkserver 进程正在运行的用户。

漏洞名称	Python 本地权限提升漏洞
漏洞类型	访问控制不恰当
发现时间	2022-11-07
漏洞影响广度	广
MPS编号	MPS-2022-59796
CVE编号	CVE-2022-42919
CNVD编号	-

影响范围

Python@[3.10, 3.10.8]

Python@[3.11.0rc2, 3.11.0rc2]

Python@[3.9.0, 3.9.15]

修复方案

官方已发布补丁，请点击查看：https://github.com/python/cpython/issues/97514

参考链接

https://www.oscs1024.com/hd/MPS-2022-59796

https://nvd.nist.gov/vuln/detail/CVE-2022-42919

https://github.com/python/cpython/issues/97514

https://github.com/gpshead/cpython/commit/6465b5334b5e7fcf7c8934ec18c1806a6a0a7b05

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc