CVE-2026-115557
KrytyczneCVSS 9.4Streszczenie
Moduł "ssl" w Pythonie otrzymał listę blokowanych znanych skompromitowanych certyfikatów, aby zapewnić bezpieczeństwo użytkowników nawet bez skonfigurowanego odwoływania certyfikatów. Znane skompromitowane certyfikaty są automatycznie odrzucane niezależnie od konfiguracji polityki SSLContext.
Ocena ryzyka
Bez tej poprawki aplikacje mogłyby akceptować połączenia z użyciem skompromitowanych certyfikatów, co umożliwiałoby ataki typu man-in-the-middle. Wdrożenie poprawki ogranicza to ryzyko niezależnie od konfiguracji.
Rekomendacja
Zaktualizuj interpreter Python do wersji zawierającej tę poprawkę. Sprawdź, czy aplikacje nie polegają na akceptacji certyfikatów znajdujących się na nowej liście blokowanych.
Inne podatności w Python ssl module
Zobacz wszystkie- CVE-2026-19445Krytyczne
Zdalny, nieuwierzytelniony klient TLS może spowodować awarię serwera lub wywołanie przez zwolniony wskaźnik, jeśli jego sni_callback przypisze inny kontekst do SSLSocket.context (udokumentowany sposób wyboru certyfikatu per nazwa serwera) i nic innego nie utrzymuje oryginalnego ssl.SSLContext przy życiu. Typowe przypadki to serwery tworzące SSLContext na połączenie lub zastępujące go, gdy połączenia są otwarte; serwery, które opakowują nim gniazdo nasłuchujące, nie są dotknięte. Obejście: trzymaj referencję do każdego SSLContext, który ustawia sni_callback, przez cały czas życia serwera. Klienci TLS nie są dotknięci.
- CVE-2026-19553Wysokie
W Pythonie funkcja ssl.SSLContext.wrap_bio() nie wymagała, aby argument server_hostname był różny od None, gdy ustawiono ssl.SSLContext.check_hostname. Z powodu braku sprawdzenia parametru w SSLObject, jeśli server_hostname nie został podany, weryfikacja nazwy hosta była po cicho pomijana. Może to prowadzić do sytuacji, w której weryfikacja certyfikatu wydaje się działać przy check_hostname = True, mimo błędnej konfiguracji.
Oryginalny opis (angielski, źródło NVD)
Python has added a denylist for known compromised certificates to the "ssl" module to ensure user safety even without certificate revocation configured. Known compromised certificates will automatically be rejected regardless of the SSLContext policy configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS