Divulgation d'information dans RestrictedPython (CVE-2026-76825)
Résumé
Vulnérabilité dans RestrictedPython (CVE-2026-76825). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via string. Atténuation : mise à jour vers 8.4 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
RestrictedPython could allow a sandbox escape when a policy exposes the standard library string module, or otherwise exposes string.Formatter, to restricted code.
string.Formatter field resolution methods such as get_field can perform attribute and item traversal internally and return live object references. This can bypass RestrictedPython's normal attribute guards and may allow access to sensitive objects such as function globals, builtins, file access, or code execution primitives.
Users are impacted if they run untrusted code with RestrictedPython and expose string.Formatter, directly or indirectly, for example through a custom import policy or globals.
Patches
The problem has been patched by blocking access to string.Formatter and unsafe string.Formatter traversal methods in safer_getattr.
Users should upgrade to the patched release once available. Affected and patched version numbers should be filled in when the release is published.
Workarounds
Do not expose the standard library string module or string.Formatter to restricted code.
If a custom import hook is used, deny imports of string or provide only a restricted wrapper that does not expose Formatter. If custom globals are supplied, ensure neither string.Formatter nor Formatter instances are available to restricted code.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-76825 a été découverte dans RestrictedPython.
Des attaquants peuvent cibler un point d'entrée spécifique comme string à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.4/10.
Action : mettez à jour RestrictedPython vers 8.4 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « RestrictedPython CVE-2026-76825 » sur le site de l'éditeur.
CVE-2026-76825 (RestrictedPython) — CWE-200 / CVSS v3 8.4
Vecteur d'attaque : distant (réseau)
Surface d'attaque : string / string.Formatter / get_field / safer_getattr
Correctif : 8.4 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une divulgation d'information (CWE-200) affecte RestrictedPython. Les attaquants atteignent le code vulnérable via string.
Consultez l'avis de l'éditeur pour les versions affectées de RestrictedPython. Surface d'attaque : string / string.Formatter / get_field / safer_getattr.
Gravité : Élevée (CVSS 8.4/10). L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 8.4.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'RestrictedPython' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
RestrictedPythonを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade RestrictedPython to 8.4ステージング環境で 8.4 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-76825 restrictedpython
- Ubuntu UBUNTU-CVE-2026-76825 restrictedpython
Références
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- package pypi.org
- web github.com
- web github.com
- web github.com