CVE-2023-40217
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Wykryto problem w Pythonie przed wersją 3.8.18, 3.9.x przed 3.9.18, 3.10.x przed 3.10.13 oraz 3.11.x przed 3.11.5, który dotyczy serwerów korzystających z uwierzytelniania klienta TLS. W przypadku szybkiego zamknięcia gniazda serwera TLS, dane mogą być odczytywane z bufora gniazda, mimo że nie są uwierzytelnione.
Ocena ryzyka
Organizacje mogą być narażone na ryzyko nieautoryzowanego dostępu do danych, które mogą być odczytane z bufora gniazda, co może prowadzić do naruszenia bezpieczeństwa informacji.
Rekomendacja
Zaleca się aktualizację Pythona do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie serwerów korzystających z TLS w celu wykrycia potencjalnych incydentów.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Python before 3.8.18, 3.9.x before 3.9.18, 3.10.x before 3.10.13, and 3.11.x before 3.11.5. It primarily affects servers (such as HTTP servers) that use TLS client authentication. If a TLS server-side socket is created, receives data into the socket buffer, and then is closed quickly, there is a brief window where the SSLSocket instance will detect the socket as "not connected" and won't initiate a handshake, but buffered data will still be readable from the socket buffer. This data will not be authenticated if the server-side TLS peer is expecting client certificate authentication, and is indistinguishable from valid TLS stream data. Data is limited in size to the amount that will fit in the buffer. (The TLS connection cannot directly be used for data exfiltration because the vulnerable code path requires that the connection be closed on initialization of the SSLSocket.)