CVE-2026-69248
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Pakiet cryptography dla Pythona w wersjach od 45.0.0 do 48.0.0 ma podatność w weryfikacji łańcucha certyfikatów. Jeśli pośrednie CA z ograniczeniami zezwala na nazwę foo.example.com, a certyfikat liścia ma wildcard *.example.com, weryfikator akceptuje łańcuch, co pozwala na wyjście poza dozwolone nazwy. Problem naprawiono w wersji 49.0.0.
Ocena ryzyka
Ryzyko obejmuje akceptację nieprawidłowego łańcucha certyfikatów, co może prowadzić do podszywania się pod zaufane domeny i naruszenia bezpieczeństwa komunikacji.
Rekomendacja
Zaleca się aktualizację pakietu cryptography do wersji 49.0.0 lub nowszej, która zawiera poprawkę.
Inne podatności w cryptography
Zobacz wszystkie- CVE-2026-39892Krytyczne
Biblioteka cryptography dla Pythona w wersjach od 45.0.0 do 46.0.6 zawiera podatność na przepełnienie bufora. Problem występuje, gdy do funkcji akceptujących bufory Pythona (np. Hash.update()) przekazany zostanie nieciągły bufor. Luka została naprawiona w wersji 46.0.7.
- CVE-2020-36242Krytyczne
W pakiecie cryptography dla języka Python przed wersją 3.3.2, sekwencje wywołań funkcji aktualizującej szyfrowanie symetryczne dla danych o rozmiarze wielu gigabajtów mogą prowadzić do przepełnienia liczb całkowitych i przepełnienia bufora, co zostało zademonstrowane na klasie Fernet.
- CVE-2026-69247Wysokie
cryptography, biblioteka kryptograficzna dla Pythona, w wersjach od 44.0.0 do 50.0.0, zawiera podatność na atak typu Bleichenbacher. Funkcje pkcs7_decrypt_der, pkcs7_decrypt_pem i pkcs7_decrypt_smime ujawniają różnice w wynikach deszyfrowania encryptedKey, co może być wykorzystane przez atakującego do odszyfrowania klucza szyfrowania treści. Atak wymaga usługi automatycznie deszyfrującej niezaufane EnvelopedData, np. bramy S/MIME. Problem naprawiono w wersji 50.0.0.
- CVE-2026-26007Średnie
Biblioteka cryptography dla Pythona przed wersją 46.0.5 nie weryfikuje, czy punkt klucza publicznego należy do oczekiwanej podgrupy krzywej. Brak walidacji umożliwia atakującemu dostarczenie punktu z małej podgrupy, co prowadzi do wycieku informacji o kluczu prywatnym w ECDH i umożliwia fałszowanie podpisów ECDSA. Podatność dotyczy krzywych SECT.
Oryginalny opis (angielski, źródło NVD)
cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. In versions 45.0.0 through 48.0.0, if an intermediate constrained CA permits the DNS name foo.example.com, and the leaf certificate has a wildcard in its DNS SAN of *.example.com, python-cryptography's verifier accepts which allows escaping outside of the permitted names. The core issue is in DNSConstraint::matches, where a wildcard pattern was treated as matching a more-specific permitted constraint even though *.example.com can expand to sibling names such as bar.example.com outside foo.example.com. This allows acceptance of an invalid certificate chain. This issue is fixed in 49.0.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS