CVE-2026-64847

Nome do Software Vulnerável e Versões Afetadas AnyIO versões anteriores a 4.14.2

Descrição O AnyIO inicia workers de pool de processos com o fluxo de erro padrão conectado a um pipe que o processo pai nunca esvazia. Embora a documentação afirme que todos os três fluxos padrão são redirecionados, o worker redireciona apenas o stdin e o stdout para /dev/null. Se o código do worker escrever uma quantidade significativa de dados influenciados por um invasor em sys.stderr, o pipe pode encher e bloquear o worker antes que ele retorne a resposta do protocolo de saída padrão. Isso faz com que a chamada de pool de processos aguardada permaneça bloqueada indefinidamente, resultando em uma negação de serviço. Este problema afeta aplicações que executam código de worker não confiável ou defeituoso capaz de produzir uma saída de erro padrão substancial.

Recomendações Atualize para a versão 4.14.2. Como solução temporária, feche o sys.stderr na função de destino para evitar o deadlock.