CVE-2026-63349 in AnyIO
Riassunto
di VulDB • 18/09/2026
AnyIO è un framework di concorrenza e networking asincrono di alto livello che opera su Trio o asyncio. Nella versione 4.14.0, AnyIO accetta l'argomento POSIX extra_groups nelle funzioni anyio.run_process() e anyio.open_process(), ma open_process() inoltra l'argomento group al backend invece di extra_groups. Un chiamante che fornisce extra_groups=[] per svuotare i gruppi supplementari ereditati può quindi avviare un processo figlio che mantiene i gruppi del processo genitore, compromettendo il confine di riduzione dei privilegi (privilege-dropping boundary). Se viene fornito anche l'argomento group, il valore intero di group viene passato dove ci si aspetta un iterabile di gruppi supplementari e l'avvio può fallire con un errore TypeError. Questo problema interessa le applicazioni POSIX che fanno affidamento sugli helper per subprocessi di AnyIO per avviare processi figlio meno privilegiati. Il problema è risolto nella versione 4.14.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.