Python漏洞导致Windows系统越界写入

在Python的asyncio模块中发现了一个高危安全漏洞，该漏洞存在于Windows系统上，可能允许攻击者向已分配内存缓冲区的边界之外写入数据。

该漏洞被追踪为CVE-2026-3298，由Python安全开发者Seth Larson于2026年4月21日通过官方Python安全公告邮件列表公开披露。

该漏洞存在于asyncio.ProactorEventLoop的sock_recvfrom_into()方法中，这是一个Windows特定的事件循环实现，用于异步I/O操作。

根本原因是当使用可选的nbytes参数时，数据缓冲区缺少边界检查。

当网络响应超过预分配的缓冲区大小时，Python无法强制执行大小限制，导致多余数据覆盖相邻的内存区域。

这类被称为越界（OOB）写入的漏洞特别危险，因为它可能导致内存损坏、应用程序崩溃，或根据被覆盖的内存内容潜在地执行任意代码。

此漏洞仅影响Windows系统。Linux、macOS和其他基于Unix的平台使用不同的事件循环后端（SelectorEventLoop），完全不受影响。

运行依赖基于asyncio网络功能的Python应用程序的Windows用户，特别是那些在sock_recvfrom_into()中使用nbytes参数的用户，面临风险。

该漏洞尤其与以下场景相关：

• 由Windows托管的Python Web服务器和API后端
• 使用UDP套接字操作的异步网络应用程序
• 任何将可变长度网络数据接收至固定大小缓冲区的服务

Python安全团队将此漏洞评为高危级别。越界写入漏洞经常在内存损坏攻击中被利用，它们出现在像asyncio这样被广泛使用的标准库组件中，显著提高了生产环境中Windows部署的风险等级。

修复程序已通过GitHub拉取请求148809提交至CPython代码仓库。该补丁引入了缺失的边界检查，确保接收到的数据不能超过由nbytes参数定义的缓冲区大小。

Windows上的Python用户应：

• 在cve.org/CVERecord?id=CVE-2026-3298监控官方CVE记录以获取修补版本详情
• 在更新版Python发布后立即应用
• 在修补之前，暂时避免在不受信任的网络环境中使用带有nbytes参数的sock_recvfrom_into()

自Python 3.8起，asyncio.ProactorEventLoop已成为Windows上的默认事件循环，这使得该漏洞在广泛的现代Python部署中都具有相关性。

建议在Windows上构建面向网络应用程序的开发人员优先应用此补丁。