CVE-2026-64847— AnyIO进程池未排空标准错误导致阻塞漏洞
一分钟漏洞结论
影响对象
agronholm anyio
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
AnyIO 是一个高层级的异步并发与网络框架，运行在 Trio 或 asyncio 之上。在 4.14.2 版本之前，AnyIO 启动进程池工作进程时，会将标准错误流（stderr）连接到一个管道，但该管道从未被父进程读取（drain），尽管文档中描述的行为是将所有三个标准流（stdin/stdout/stderr）重定向。如果工作进程中的代码向 写入足够多且受攻击者影响的数据，可能会填满该管道，导致进程在返回标准输出协议响应之前被阻塞，从而使等待中的进程池调用无限期挂起。运行不可信或存在缺陷的工作代码、且该代码能
可能的 ATT&CK 技术 1 AI
T1293
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-64847 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
AnyIO process-pool workers can block indefinitely on undrained stderr
来源: CVE Program / CVE List V5
Vulnerability Description
AnyIO is a high level asynchronous concurrency and networking framework that works on top of either Trio or asyncio. Prior to 4.14.2, AnyIO starts process-pool workers with standard error connected to a pipe that the parent never drains, even though the documented behavior redirects all three standard streams. Worker code that writes enough attacker-influenced data to sys.stderr can fill the pipe and block before returning the standard-output protocol response, causing the awaiting process-pool call to remain blocked indefinitely. Applications that run untrusted or faulty worker code capable of producing substantial standard-error output are affected. This issue is fixed in version 4.14.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
不加限制或调节的资源分配
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-64847 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-64847 的情报信息
请登录查看更多情报信息。