CVE-2023-24329

Python w wersjach przed 3.3.4 RC1 umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez wprowadzenie wartości rozmiaru pliku większej niż rozmiar pliku zip w funkcjach związanych z odczytem i ekstrakcją plików zip.

Podatność w Pythonie 3.9.x przed 3.9.16 i 3.10.x przed 3.10.9 na systemie Linux umożliwia lokalną eskalację uprawnień w niestandardowej konfiguracji. Biblioteka multiprocessing z metodą startową forkserver pozwala na deserializację pickle'ów od dowolnego użytkownika w tej samej sieci lokalnej maszyny.

Moduł email w Pythonie, a konkretnie klasa BytesGenerator, nieprawidłowo cytuje znaki nowej linii w nagłówkach wiadomości podczas serializacji, co umożliwia wstrzyknięcie nagłówka. Problem dotyczy tylko użycia LiteralHeader, które nie respektuje składania nagłówków.

W Pythonie, w module urllib.parse, wykryto podatność polegającą na braku sanityzacji danych wejściowych przez metodę urlparse. Pozwala ona na wprowadzenie znaków ' ' i ' ' do ścieżki URL, co może prowadzić do ataków typu CRLF injection.

Moduł email w Pythonie do wersji 3.11.3 błędnie parsuje adresy e-mail zawierające znaki specjalne. Nieprawidłowa część nagłówka RFC2822 jest identyfikowana jako wartość addr-spec.

W Pythonie znaleziono błąd. W algorytmach o kwadratowej złożoności czasowej używających niebinarnych baz, przy użyciu int("text"), system może potrzebować 50ms na sparsowanie int stringa z 100 000 cyfr i 5s dla 1 000 000 cyfr (float, decimal, int.from_bytes() i int() dla baz binarnych 2, 4, 8, 16 i 32 nie są dotknięte). Największe zagrożenie z tej podatności to dostępność systemu.

W Pythonie przed wersją 3.9.5 biblioteka ipaddress nieprawidłowo obsługuje wiodące zera w oktetach adresu IP. W niektórych sytuacjach pozwala to atakującym obejść kontrolę dostępu opartą na adresach IP.

W Pythonie w wersjach od 3 do 3.9.0 testy kodeków CJK w pliku Lib/test/multibytecodec_support.py wywołują funkcję eval() na treści pobranej przez HTTP. Może to prowadzić do wykonania dowolnego kodu, jeśli treść zostanie spreparowana.

http.client w Pythonie 3.x przed 3.5.10, 3.6.x przed 3.6.12, 3.7.x przed 3.7.9 i 3.8.x przed 3.8.5 pozwala na wstrzyknięcie CRLF, jeśli atakujący kontroluje metodę żądania HTTP, np. poprzez wstawienie znaków CR i LF w pierwszym argumencie HTTPConnection.request.

Lib/ipaddress.py w Pythonie do wersji 3.8.3 niepoprawnie oblicza wartości hasz w klasach IPv4Interface i IPv6Interface, co może umożliwić zdalnemu atakującemu spowodowanie odmowy usługi, jeśli aplikacja jest wrażliwa na wydajność słownika zawierającego obiekty IPv4Interface lub IPv6Interface i atakujący może spowodować utworzenie wielu wpisów w słowniku. Naprawione w wielu wersjach Pythona.