vantage6-server node accepts non-whitelisted algorithms from malicious server
Impact
A node does not check if an image is allowed to run if a parent_id is set. A malicious party that breaches the server may modify it to set a fake parent_id and send a task of a non-whitelisted algorithm. The node will then execute it because the parent_id that is set prevents checks from being run. Relevant node code here
This impacts all servers that are breached by an expert user
Patches
Fixed in v4.1.2
Workarounds
None
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | vantage6-node | < 4.1.2 | 4.1.2 |
| Python (PyPI) | vantage6-server | < 4.1.2 | 4.1.2 |
Odnośniki
- https://github.com/vantage6/vantage6/security/advisories/GHSA-vc3v-ppc7-v486
- https://github.com/vantage6/vantage6/commit/bf83521eb12fa80aa5fc92ef1692010a9a7f8243
- https://github.com/vantage6/vantage6/blob/version/4.1.1/vantage6-node/vantage6/node/docker/docker_manager.py#L265-L268
- https://nvd.nist.gov/vuln/detail/CVE-2023-47631
- https://github.com/pypa/advisory-database/tree/main/vulns/vantage6-node/PYSEC-2023-303.yaml
- https://github.com/pypa/advisory-database/tree/main/vulns/vantage6-server/PYSEC-2023-304.yaml
- https://github.com/vantage6/vantage6
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-345, CWE-358- Platforma
- Python (PyPI)
- Paczka
vantage6-node, vantage6-server- Ujawniono
- 14.11.2023
- Aktualizacja
- 11.10.2026 15:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2023-303 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2023-304 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-vc3v-ppc7-v486 - CC BY 4.0
Historia podatności: vantage6-server
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 5
- Pierwsza → ostatnia
- 11.2023 06.2025
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 2
- Niska 2
Ujawnienia w latach
- 2023: 1
- 2024: 3
- 2025: 1
- 2026: 0
-
vantage6-server node accepts non-whitelisted algorithms from malicious server ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.