CVE-2020-36242
KrytyczneStreszczenie
W pakiecie cryptography dla języka Python przed wersją 3.3.2, sekwencje wywołań funkcji aktualizującej szyfrowanie symetryczne dla danych o rozmiarze wielu gigabajtów mogą prowadzić do przepełnienia liczb całkowitych i przepełnienia bufora, co zostało zademonstrowane na klasie Fernet.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu lub spowodowania awarii aplikacji, co stanowi poważne zagrożenie dla integralności i dostępności systemów używających biblioteki cryptography do szyfrowania dużych danych.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę cryptography do wersji 3.3.2 lub nowszej, aby wyeliminować ryzyko przepełnienia bufora.
Oryginalny opis (angielski, źródło NVD)
In the cryptography package before 3.3.2 for Python, certain sequences of update calls to symmetrically encrypt multi-GB values could result in an integer overflow and buffer overflow, as demonstrated by the Fernet class.