CVE-2019-10160
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 92 - wyżej niż 92% wszystkich znanych CVE
Streszczenie
Wykryto regresję bezpieczeństwa CVE-2019-9636 w Pythonie od commit d537ab0ff9767ef024f26246899728f0116b1ec3, dotyczącą wersji 2.7, 3.5, 3.6, 3.7 oraz od v3.8.0a4 do v3.8.0b1. Atakujący może nadal wykorzystać CVE-2019-9636, nadużywając części user i password w URL-u. Gdy aplikacja parsuje URL-e dostarczone przez użytkownika, aby przechowywać ciasteczka, poświadczenia lub inne informacje, możliwe jest, że atakujący poda specjalnie spreparowane URL-e, które spowodują wysłanie informacji związanych z hostem do innego hosta, niż powinny.
Ocena ryzyka
Ryzyko ujawnienia ciasteczek i danych uwierzytelniających do nieprawidłowych hostów, co może prowadzić do kradzieży sesji lub danych logowania.
Rekomendacja
Zaktualizuj Pythona do wersji 2.7.17, 3.5.10, 3.6.10, 3.7.3 lub nowszych, a jeśli używasz wersji 3.8, zaktualizuj do wersji 3.8.0b2 lub nowszej.
Inne podatności w Python
Zobacz wszystkie- CVE-2013-7338Wysokie
Python w wersjach przed 3.3.4 RC1 umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez wprowadzenie wartości rozmiaru pliku większej niż rozmiar pliku zip w funkcjach związanych z odczytem i ekstrakcją plików zip.
- CVE-2023-24329Wysokie
Podatność w komponencie urllib.parse języka Python przed wersją 3.11.4 umożliwia atakującym ominięcie metod blokowania poprzez dostarczenie adresu URL rozpoczynającego się od znaków pustych.
- CVE-2022-0391Wysokie
W Pythonie, w module urllib.parse, wykryto podatność polegającą na braku sanityzacji danych wejściowych przez metodę urlparse. Pozwala ona na wprowadzenie znaków ' ' i ' ' do ścieżki URL, co może prowadzić do ataków typu CRLF injection.
- CVE-2026-1299Średnie
Moduł email w Pythonie, a konkretnie klasa BytesGenerator, nieprawidłowo cytuje znaki nowej linii w nagłówkach wiadomości podczas serializacji, co umożliwia wstrzyknięcie nagłówka. Problem dotyczy tylko użycia LiteralHeader, które nie respektuje składania nagłówków.
- CVE-2022-42919Wysokie
Podatność w Pythonie 3.9.x przed 3.9.16 i 3.10.x przed 3.10.9 na systemie Linux umożliwia lokalną eskalację uprawnień w niestandardowej konfiguracji. Biblioteka multiprocessing z metodą startową forkserver pozwala na deserializację pickle'ów od dowolnego użytkownika w tej samej sieci lokalnej maszyny.
- CVE-2023-27043Średnie
Moduł email w Pythonie do wersji 3.11.3 błędnie parsuje adresy e-mail zawierające znaki specjalne. Nieprawidłowa część nagłówka RFC2822 jest identyfikowana jako wartość addr-spec.
- CVE-2020-10735Wysokie
W Pythonie znaleziono błąd. W algorytmach o kwadratowej złożoności czasowej używających niebinarnych baz, przy użyciu int("text"), system może potrzebować 50ms na sparsowanie int stringa z 100 000 cyfr i 5s dla 1 000 000 cyfr (float, decimal, int.from_bytes() i int() dla baz binarnych 2, 4, 8, 16 i 32 nie są dotknięte). Największe zagrożenie z tej podatności to dostępność systemu.
- CVE-2019-20907Wysokie
W Lib/tarfile.py w Pythonie do wersji 3.8.3, atakujący może stworzyć archiwum TAR prowadzące do nieskończonej pętli podczas otwierania przez tarfile.open, ponieważ _proc_pax nie posiada walidacji nagłówka.
- CVE-2019-5010Wysokie
Podatność w parserze certyfikatów X509 w Pythonie 2.7.11 i 3.6.6 umożliwia odmowę usługi poprzez specjalnie spreparowany certyfikat X509, który powoduje wyłuskanie pustego wskaźnika (NULL pointer dereference).
- CVE-2019-16056Wysokie
W Pythonie do wersji 2.7.16, 3.x do 3.5.7, 3.6.x do 3.6.9 i 3.7.x do 3.7.4 odkryto problem. Moduł email błędnie parsuje adresy email zawierające wiele znaków @. Aplikacja używająca modułu email i implementująca pewne kontrole nagłówków From/To wiadomości może zostać oszukana, aby zaakceptować adres email, który powinien być odrzucony. Atak może być taki sam jak w CVE-2019-11340; jednak to CVE dotyczy Pythona bardziej ogólnie.
Oryginalny opis (angielski, źródło NVD)
A security regression of CVE-2019-9636 was discovered in python since commit d537ab0ff9767ef024f26246899728f0116b1ec3 affecting versions 2.7, 3.5, 3.6, 3.7 and from v3.8.0a4 through v3.8.0b1, which still allows an attacker to exploit CVE-2019-9636 by abusing the user and password parts of a URL. When an application parses user-supplied URLs to store cookies, authentication credentials, or other kind of information, it is possible for an attacker to provide specially crafted URLs to make the application locate host-related information (e.g. cookies, authentication data) and send them to a different host than where it should, unlike if the URLs had been correctly parsed. The result of an attack may vary based on the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS