CVE-2026-63349 in AnyIO
요약
\~에 의해 VulDB • 2026. 09. 18.
AnyIO는 Trio 또는 asyncio 위에서 동작하는 고급 비동기 컨커런시 및 네트워킹 프레임워크입니다. 버전 4.14.0에서 AnyIO는 `anyio.run_process()`와 `anyio.open_process()`에서 POSIX의 `extra_groups` 인수를 허용하지만, `open_process()`는 `extra_groups` 대신 `group` 인수를 백엔드로 전달합니다. 따라서 상속된 보조 그룹을 지우기 위해 `extra_groups=[]`를 제공하는 호출자는 부모 프로세스 그룹을 유지하는 자식 프로세스를 시작할 수 있으며, 이는 특권 강하 경계를 무력화시킵니다. 또한 `group`이 제공되는 경우, 기대되는 보조 그룹의 반복 가능한 객체 대신 정수형 group 값이 전달되어 실행 시 TypeError로 인해 실패할 수 있습니다. 이 문제는 덜 특권이 있는 자식 프로세스를 시작하기 위해 AnyIO 서브프로세스 도우미에 의존하는 POSIX 애플리케이션에 영향을 미칩니다. 이 이슈는 버전 4.14.2에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.