CVE-2025-61765

Résumé

python-socketio est une implémentation Python du client et serveur temps réel Socket.IO. Une vulnérabilité d'exécution de code à distance dans les versions de python-socketio antérieures à 5.14.0 permet à des attaquants d'exécuter du code Python arbitraire par l'intermédiaire d'une désérialisation pickle malveillante dans les déploiements multi-serveurs sur lesquels l'attaquant a préalablement obtenu un accès à la file de messages que les serveurs utilisent pour leurs communications internes. Lorsque les serveurs Socket.IO sont configurés pour utiliser un backend de file de messages tel que Redis pour la communication inter-serveurs, les messages envoyés entre les serveurs sont encodés à l'aide du module Python `pickle`. Lorsqu'un serveur reçoit l'un de ces messages via la file de messages, il le considère comme fiable et le désérialise immédiatement. La vulnérabilité provient de la désérialisation des messages à l'aide de la fonction `pickle.loads()` de Python. Ayant préalablement obtenu un accès à la file de messages, l'attaquant peut envoyer à un serveur python-socketio une charge utile pickle conçue pour exécuter du code arbitraire pendant la désérialisation via la méthode `__reduce__` de Python. Cette vulnérabilité n'affecte que les déploiements dont la file de messages est compromise. L'attaque peut permettre à l'attaquant d'exécuter du code aléatoire dans le contexte, et avec les privilèges, d'un processus serveur Socket.IO. Les systèmes mono-serveur qui n'utilisent pas de file de messages, ainsi que les systèmes multi-serveurs dotés d'une file de messages sécurisée, ne sont pas vulnérables. En plus de veiller à ce que les pratiques de sécurité standard soient suivies lors du déploiement de la file de messages, les utilisateurs du paquet python-socketio peuvent mettre à niveau vers la version 5.14.0 ou une version plus récente, qui supprime le module `pickle` et utilise l'encodage JSON beaucoup plus sûr pour la messagerie inter-serveurs.

• CVE-2025-61765_PoCPoC