GLSA 200509-09: Py2Play: Remote execution of arbitrary Python code

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	Py2Play: Remote execution of arbitrary Python code
Дата:	17.09.2005
Ошибки:	#103524
ID:	200509-09

Сводка

A design error in Py2Play allows attackers to execute arbitrary code.

Назначение

Py2Play is a peer-to-peer network game engine written in Python. Pickling is a Python feature allowing to serialize Python objects into string representations (called pickles) that can be sent over the network.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-python/py2play	<= 0.1.7	>= 0.1.8	All supported architectures

Описание

Arc Riley discovered that Py2Play uses Python pickles to send objects over a peer-to-peer game network, and that clients accept without restriction the objects and code sent by peers.

Воздействие

A remote attacker participating in a Py2Play-powered game can send malicious Python pickles, resulting in the execution of arbitrary Python code on the targeted game client.

Обход

There is no known workaround at this time.

Решение

All py2play users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=dev-python/py2play-0.1.8"

Ссылки

CAN-2005-2875

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200509-09.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.