CVE-2025-61765

Riepilogo

python-socketio è un'implementazione Python del client e server realtime Socket.IO. Una vulnerabilità di esecuzione remota di codice nelle versioni di python-socketio precedenti alla 5.14.0 consente agli attaccanti di eseguire codice Python arbitrario tramite una deserializzazione pickle dannosa in distribuzioni multi-server in cui l'attaccante ha precedentemente ottenuto accesso alla coda di messaggi che i server utilizzano per le comunicazioni interne. Quando i server Socket.IO sono configurati per utilizzare un backend a coda di messaggi come Redis per la comunicazione tra server, i messaggi inviati tra i server vengono codificati utilizzando il modulo Python `pickle`. Quando un server riceve uno di questi messaggi tramite la coda di messaggi, lo considera attendibile e lo deserializza immediatamente. La vulnerabilità deriva dalla deserializzazione dei messaggi tramite la funzione `pickle.loads()` di Python. Avendo precedentemente ottenuto accesso alla coda di messaggi, l'attaccante può inviare a un server python-socketio un payload pickle appositamente costruito che esegue codice arbitrario durante la deserializzazione tramite il metodo `__reduce__` di Python. Questa vulnerabilità riguarda solo distribuzioni con una coda di messaggi compromessa. L'attacco può portare l'attaccante a eseguire codice arbitrario nel contesto e con i privilegi del processo del server Socket.IO. I sistemi a server singolo che non utilizzano una coda di messaggi e i sistemi multi-server con una coda di messaggi sicura non sono vulnerabili. Oltre a garantire che vengano seguite le pratiche di sicurezza standard nella distribuzione della coda di messaggi, gli utenti del pacchetto python-socketio possono aggiornare alla versione 5.14.0 o successiva, che rimuove il modulo `pickle` e utilizza la codifica JSON molto più sicura per la messaggistica tra server.

Fonti

• CVE-2025-61765_PoCPoC

  Prova di concetto di una vulnerabilità di deserializzazione pickle non sicura in Socket.IO