Python39-devel
Уязвимости
27
Эксплуатируемые
0
Макс. CVSS
9.1
Макс. EPSS
0.27095
Распределение по критичности
Критический
1
Высокий
11
Средний
14
Низкий
1
Также сопоставлено как (исходные строки): python39-devel
Топ уязвимостей
CVE-2021-29921В Python до 3.9.5 библиотека ipaddress неправильно обрабатывает начальные нули в октетах строки IP-адреса. Это (в некоторых ситуациях) позволяет злоумышленникам обходить контроль доступа, основанный на IP-адресах.
CVE-2024-6345Уязвимость в модуле package_index pypa/setuptools версий до 69.1.1 позволяет удаленно выполнять код через его функции загрузки. Эти функции, которые используются для загрузки пакетов с URL-адресов, предоставленных пользователями или полученных с серверов индексов пакетов, подвержены внедрению кода. Если эти функции подвергаются воздействию контролируемых пользователем входных данных, таких как URL-адреса пакетов, они могут выполнять произвольные команды в системе. Проблема исправлена в версии 70.0.
CVE-2024-8088Существует уязвимость ВЫСОКОЙ степени серьезности, затрагивающая модуль CPython "zipfile", затрагивающая "zipfile.Path". Обратите внимание, что более распространенный класс API "zipfile.ZipFile" не затронут.
При итерации по именам записей в zip-архиве (например, методы класса "zipfile.Path", такие как "namelist()", "iterdir()" и т. д.) процесс может быть помещен в бесконечный цикл с помощью злонамеренно созданного zip-архива. Этот дефект применяется при чтении только метаданных или извлечении содержимого zip-архива. Программы, которые не обрабатывают zip-архивы, контролируемые пользователем, не подвержены воздействию.
CVE-2023-40217Проблема была обнаружена в Python до 3.8.18, 3.9.x до 3.9.18, 3.10.x до 3.10.13 и 3.11.x до 3.11.5. Это в первую очередь влияет на серверы (например, HTTP-серверы), которые используют аутентификацию клиента TLS. Если создается сокет TLS на стороне сервера, получает данные в буфер сокета, а затем быстро закрывается, возникает короткое окно, в котором экземпляр SSLSocket обнаружит, что сокет «не подключен», и не инициирует рукопожатие, но буферизованные данные по-прежнему будут доступны для чтения из буфера сокета. Эти данные не будут аутентифицированы, если одноранговый узел TLS на стороне сервера ожидает аутентификации клиентского сертификата, и их нельзя отличить от допустимых данных потока TLS. Размер данных ограничен объемом, который поместится в буфер. (Соединение TLS нельзя напрямую использовать для эксфильтрации данных, поскольку уязвимый путь кода требует, чтобы соединение было закрыто при инициализации SSLSocket.)
CVE-2023-6597Проблема была обнаружена в классе `tempfile.TemporaryDirectory` CPython, затрагивающем версии 3.12.1, 3.11.7, 3.10.13, 3.9.18 и 3.8.18 и более ранние.
Класс tempfile.TemporaryDirectory будет разыменовывать символические ссылки во время очистки ошибок, связанных с разрешениями. Это означает, что пользователи, которые могут запускать привилегированные программы, потенциально могут изменять разрешения файлов, на которые ссылаются символические ссылки в некоторых обстоятельствах.
CVE-2015-20107В Python (также известном как CPython) до версии 3.10.8 модуль mailcap не добавляет escape-символы в команды, обнаруженные в системном файле mailcap. Это может позволить злоумышленникам внедрять команды оболочки в приложения, которые вызывают mailcap.findmatch с ненадежным вводом (если им не хватает проверки предоставленных пользователем имен файлов или аргументов). Исправление также перенесено в версии 3.7, 3.8, 3.9.
CVE-2024-6232Существует уязвимость MEDIUM severity, затрагивающая CPython.
Регулярные выражения, допускающие чрезмерный возврат во время анализа заголовка tarfile.TarFile, уязвимы для ReDoS через специально созданные tar-архивы.
CVE-2023-24329Проблема в компоненте urllib.parse Python до версии 3.11.4 позволяет злоумышленникам обходить методы блокировки, предоставляя URL-адрес, начинающийся с пробелов.
CVE-2022-45061Проблема обнаружена в Python до 3.11.1. Ненужный квадратичный алгоритм существует на одном пути при обработке некоторых входных данных для декодера IDNA (RFC 3490), так что специально созданное, неоправданно длинное имя, представленное декодеру, может привести к отказу в обслуживании ЦП. Имена хостов часто предоставляются удаленными серверами, которые могут контролироваться злоумышленником; в таком сценарии они могут вызвать чрезмерное потребление ЦП на клиенте, пытающемся использовать предполагаемое имя хоста, предоставленное злоумышленником. Например, полезная нагрузка атаки может быть помещена в заголовок Location HTTP-ответа с кодом состояния 302. Исправление планируется в 3.11.1, 3.10.9, 3.9.16, 3.8.16 и 3.7.16.
CVE-2021-33503В urllib3 до версии 1.26.5 обнаружена проблема. Когда предоставлен URL-адрес, содержащий множество символов @ в компоненте authority, регулярное выражение authority демонстрирует катастрофическое возвращение, вызывая отказ в обслуживании, если URL-адрес передан в качестве параметра или перенаправлен через HTTP-перенаправление.
CVE-2020-10735Была обнаружена ошибка в python. В алгоритмах с квадратичной временной сложностью, использующих небинарные основания, при использовании int("text") система может занять 50 мс для разбора строки int с 100000 символов и 5 секунд для 1000000 символов (float, decimal, int.from_bytes() и int() для бинарных оснований 2, 4, 8, 16 и 32 не затрагиваются). Наибольшая угроза от этой уязвимости связана с доступностью системы.
CVE-2021-28861Python 3.x по 3.10 имеет уязвимость открытой переадресации в lib/http/server.py из-за отсутствия защиты от нескольких (/) в начале пути URI, что может привести к раскрытию информации. ПРИМЕЧАНИЕ: это оспаривается третьей стороной, поскольку на странице документации http.server.html указано: «Предупреждение: http.server не рекомендуется для использования в производственной среде. Он реализует только основные проверки безопасности».
CVE-2024-6923Существует уязвимость MEDIUM, затрагивающая CPython.
Модуль email неправильно заключал в кавычки символы новой строки для заголовков электронной почты при сериализации сообщения электронной почты, что позволяло осуществлять инъекцию заголовков при сериализации электронной почты.
CVE-2024-3651В библиотеке kjd/idna была выявлена уязвимость, затрагивающая функцию `idna.encode()` в версии 3.6. Проблема возникает из-за обработки функцией специально созданных входных строк, что может привести к квадратичной сложности и, как следствие, к отказу в обслуживании. Эта уязвимость вызывается специально созданным входными данными, которые заставляют функцию `idna.encode()` обрабатывать ввод со значительной вычислительной нагрузкой, что значительно увеличивает время обработки в квадратичной зависимости от размера ввода.
CVE-2023-23931cryptography — это пакет, предназначенный для предоставления криптографических примитивов и рецептов разработчикам Python. В затронутых версиях `Cipher.update_into` принимает объекты Python, которые реализуют протокол буфера, но предоставляют только неизменяемые буферы. Это позволит изменять неизменяемые объекты (например, `bytes`), тем самым нарушая основные правила Python и приводя к повреждению вывода. Теперь это правильно вызывает исключение. Эта проблема существует с тех пор, как `update_into` был первоначально представлен в cryptography 1.8.
CVE-2021-3737Обнаружена уязвимость в python. Неправильно обработанный HTTP-ответ в коде HTTP-клиента python может позволить удаленному злоумышленнику, который контролирует HTTP-сервер, заставить клиентский скрипт войти в бесконечный цикл, потребляя время ЦП. Наибольшую угрозу от этой уязвимости представляет доступность системы.
CVE-2021-3733Обнаружена уязвимость в классе AbstractBasicAuthHandler urllib. Злоумышленник, контролирующий вредоносный HTTP-сервер, к которому подключается HTTP-клиент (например, веб-браузер), может вызвать отказ в обслуживании из-за регулярного выражения (ReDOS) во время запроса аутентификации со специально созданной полезной нагрузкой, отправленной сервером клиенту. Наибольшую угрозу эта уязвимость представляет для доступности приложения.
CVE-2024-0450Проблема была обнаружена в модуле `zipfile` CPython, затрагивающая версии 3.12.1, 3.11.7, 3.10.13, 3.9.18 и 3.8.18 и более ранние.
Модуль zipfile уязвим для zip-бомб “quoted-overlap”, которые используют формат zip для создания zip-бомбы с высоким коэффициентом сжатия. Исправленные версии CPython заставляют модуль zipfile отклонять zip-архивы, которые перекрывают записи в архиве.
CVE-2023-32681Requests – это библиотека HTTP. Начиная с версии Requests 2.3.0, Requests начала утекать заголовки Proxy-Authorization на целевые серверы при перенаправлении на HTTPS- конечную точку. Это является результатом того, как мы используем `rebuild_proxies` для повторного прикрепления заголовка `Proxy-Authorization` к запросам. Для HTTP-соединений, отправленных через туннель, прокси будет идентифицировать заголовок в самом запросе и удалять его перед передачей на целевой сервер. Однако, когда отправляется через HTTPS, заголовок `Proxy-Authorization` должен быть отправлен в запросе CONNECT, так как прокси не видит туннелированный запрос. Это приводит к тому, что Requests непреднамеренно пересылает учетные данные прокси на целевой сервер, что позволяет злоумышленнику потенциально экстрагировать конфиденциальную информацию. Эта проблема была исправлена в версии 2.31.0.
CVE-2021-28957Уязвимость XSS была обнаружена в модуле clean python-lxml версий до 4.6.3. При отключении аргументов safe_attrs_only и forms класс Cleaner не удаляет атрибут formaction, что позволяет JS обходить санитайзер. Удаленный злоумышленник может использовать этот недостаток для запуска произвольного JS кода на пользователях, которые взаимодействуют с неправильно санированными HTML. Эта проблема исправлена в lxml 4.6.3.
CVE-2023-43804urllib3 — это удобная библиотека HTTP-клиента для Python. urllib3 не обрабатывает HTTP-заголовок `Cookie` как специальный и не предоставляет вспомогательных средств для управления куками в HTTP, это лежит на ответственности пользователя. Тем не менее, существует возможность, что пользователь может указать заголовок `Cookie` и невольно раскрыть информацию через HTTP-перенаправления на другой источник, если этот пользователь не отключит перенаправления явно. Эта проблема была исправлена в версии urllib3 1.26.17 или 2.0.5.
CVE-2022-40897Python Packaging Authority (PyPA) setuptools до версии 65.5.1 позволяет удаленным злоумышленникам вызывать отказ в обслуживании через HTML в специально созданном пакете или пользовательской странице PackageIndex. Существует Regular Expression Denial of Service (ReDoS) в package_index.py.
CVE-2021-3426В pydoc Python 3 есть недостаток. Локальный или смежный злоумышленник, который обнаруживает или может убедить другого локального или смежного пользователя запустить сервер pydoc, может получить доступ к серверу и использовать его для раскрытия конфиденциальной информации, принадлежащей другому пользователю, к которой он обычно не смог бы получить доступ. Самый высокий риск этой уязвимости - конфиденциальность данных. Эта уязвимость затрагивает версии Python до 3.8.9, версии Python до 3.9.3 и версии Python до 3.10.0a7.
CVE-2007-4559Уязвимость обхода каталогов в функциях (1) extract и (2) extractall в модуле tarfile в Python позволяет удаленным злоумышленникам с помощью пользователя перезаписывать произвольные файлы через последовательность .. (точка-точка) в именах файлов в архиве TAR, что является проблемой, связанной с CVE-2001-1267.
CVE-2023-27043Модуль электронной почты Python версий до 3.11.3 некорректно анализирует адреса электронной почты, содержащие специальные символы. Неправильная часть заголовка RFC2822 идентифицируется как значение addr-spec. В некоторых приложениях злоумышленник может обойти механизм защиты, в котором доступ к приложению предоставляется только после подтверждения получения электронного письма на определенный домен (например, для регистрации могут использоваться только адреса @company.example.com). Это происходит в email/_parseaddr.py в последних версиях Python.