RestrictedPython information leakage via `AttributeError.obj` and the `string` module

TRUNG BÌNH 6.5CVE-2024-47532 · GHSA-5rfv-66g4-jr8h · PYSEC-2024-186 · Công bố 30/09/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-47532 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng restrictedpython, restrictedpython (zope).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.72%, cao hơn 53.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 7.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
restrictedpython PyPI	`< 7.3`	`7.3`
restrictedpython zope	`< 7.3`	`7.3`

Mô tả

Impact

A user can gain access to protected (and potentially sensible) information indirectly via AttributeError.obj and the string module.

Patches

The problem will be fixed in version 7.3.

Workarounds

If the application does not require access to the module string, it can remove it from RestrictedPython.Utilities.utility_builtins or otherwise do not make it available in the restricted execution environment.

Mô tả của NVD

RestrictedPython is a restricted execution environment for Python to run untrusted code. A user can gain access to protected (and potentially sensible) information indirectly via AttributeError.obj and the string module. The problem will be fixed in version 7.3. As a workaround, If the application does not require access to the module string, it can remove it from RestrictedPython.Utilities.utility_builtins or otherwise do not make it available in the restricted execution environment.