CVE-2021-3177

Podatność wynika z niebezpiecznego użycia funkcji sprintf w pliku _ctypes/callproc.c, gdzie brak odpowiedniej walidacji rozmiaru bufora prowadzi do jego przepełnienia (buffer overflow). Atakujący może przekazać specjalnie spreparowaną liczbę zmiennoprzecinkową — np. wartość 1e300 jako argument do c_double.from_param — powodując przepełnienie bufora na stosie. W aplikacjach, które akceptują tego rodzaju dane od zewnętrznych użytkowników bez wcześniejszej weryfikacji, może to skutkować wykonaniem arbitralnego kodu.

Atakujący może doprowadzić do zdalnego wykonania dowolnego kodu (RCE) w kontekście procesu uruchamiającego podatną aplikację Python, co potencjalnie oznacza pełne przejęcie kontroli nad systemem — naruszenie poufności, integralności i dostępności danych.

Należy zaktualizować Pythona do wersji wyższej niż 3.9.1, w której zastosowano poprawkę eliminującą niebezpieczne użycie sprintf (patch dostępny w repozytorium CPython: github.com/python/cpython/pull/24239). Użytkownicy dystrybucji Debian i Fedora powinni zastosować patche dostępne w ramach aktualizacji systemowych od producenta dystrybucji. Dodatkowo zaleca się walidację i ograniczenie zakresu akceptowanych wartości zmiennoprzecinkowych w aplikacjach przyjmujących niezaufane dane wejściowe.

Python 3.x w wersjach do 3.9.1 włącznie; dotyczy również dystrybucji Fedora oraz Debian korzystających z podatnych wersji Pythona.

Podatność jest reprodukowalna przy użyciu publicznie udokumentowanego wektora: przekazanie wartości 1e300 jako argumentu do c_double.from_param. Szczegóły techniczne zostały opublikowane w zgłoszeniu bugs.python.org/issue42938.