CVE-2019-20907

Python w wersjach przed 3.3.4 RC1 umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez wprowadzenie wartości rozmiaru pliku większej niż rozmiar pliku zip w funkcjach związanych z odczytem i ekstrakcją plików zip.

Podatność w komponencie urllib.parse języka Python przed wersją 3.11.4 umożliwia atakującym ominięcie metod blokowania poprzez dostarczenie adresu URL rozpoczynającego się od znaków pustych.

W Pythonie, w module urllib.parse, wykryto podatność polegającą na braku sanityzacji danych wejściowych przez metodę urlparse. Pozwala ona na wprowadzenie znaków ' ' i ' ' do ścieżki URL, co może prowadzić do ataków typu CRLF injection.

Moduł email w Pythonie, a konkretnie klasa BytesGenerator, nieprawidłowo cytuje znaki nowej linii w nagłówkach wiadomości podczas serializacji, co umożliwia wstrzyknięcie nagłówka. Problem dotyczy tylko użycia LiteralHeader, które nie respektuje składania nagłówków.

Podatność w Pythonie 3.9.x przed 3.9.16 i 3.10.x przed 3.10.9 na systemie Linux umożliwia lokalną eskalację uprawnień w niestandardowej konfiguracji. Biblioteka multiprocessing z metodą startową forkserver pozwala na deserializację pickle'ów od dowolnego użytkownika w tej samej sieci lokalnej maszyny.

Moduł email w Pythonie do wersji 3.11.3 błędnie parsuje adresy e-mail zawierające znaki specjalne. Nieprawidłowa część nagłówka RFC2822 jest identyfikowana jako wartość addr-spec.

W Pythonie znaleziono błąd. W algorytmach o kwadratowej złożoności czasowej używających niebinarnych baz, przy użyciu int("text"), system może potrzebować 50ms na sparsowanie int stringa z 100 000 cyfr i 5s dla 1 000 000 cyfr (float, decimal, int.from_bytes() i int() dla baz binarnych 2, 4, 8, 16 i 32 nie są dotknięte). Największe zagrożenie z tej podatności to dostępność systemu.

Podatność w parserze certyfikatów X509 w Pythonie 2.7.11 i 3.6.6 umożliwia odmowę usługi poprzez specjalnie spreparowany certyfikat X509, który powoduje wyłuskanie pustego wskaźnika (NULL pointer dereference).

W Pythonie do wersji 2.7.16, 3.x do 3.5.7, 3.6.x do 3.6.9 i 3.7.x do 3.7.4 odkryto problem. Moduł email błędnie parsuje adresy email zawierające wiele znaków @. Aplikacja używająca modułu email i implementująca pewne kontrole nagłówków From/To wiadomości może zostać oszukana, aby zaakceptować adres email, który powinien być odrzucony. Atak może być taki sam jak w CVE-2019-11340; jednak to CVE dotyczy Pythona bardziej ogólnie.

Wykryto regresję bezpieczeństwa CVE-2019-9636 w Pythonie od commit d537ab0ff9767ef024f26246899728f0116b1ec3, dotyczącą wersji 2.7, 3.5, 3.6, 3.7 oraz od v3.8.0a4 do v3.8.0b1. Atakujący może nadal wykorzystać CVE-2019-9636, nadużywając części user i password w URL-u. Gdy aplikacja parsuje URL-e dostarczone przez użytkownika, aby przechowywać ciasteczka, poświadczenia lub inne informacje, możliwe jest, że atakujący poda specjalnie spreparowane URL-e, które spowodują wysłanie informacji związanych z hostem do innego hosta, niż powinny.