CVE-2026-69249
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
python-cryptography, biblioteka kryptograficzna dla Pythona, przed wersją 49.0.0, zawiera podatność na atak DoS przez wyczerpanie zasobów. Podczas rozwiązywania nieprawidłowych łańcuchów certyfikatów zawierających duplikaty certyfikatów self-signed, proces rekurencyjnie wywołuje ten sam kandydat, prowadząc do wykładniczego wzrostu złożoności. Atakujący może dostarczyć łańcuch certyfikatów, który powoduje wydłużenie czasu przetwarzania powyżej 5 sekund, co może prowadzić do odmowy usługi. Problem naprawiono w wersji 49.0.0.
Ocena ryzyka
Atakujący może spowodować przeciążenie systemu poprzez dostarczenie specjalnie spreparowanego łańcucha certyfikatów, prowadząc do niedostępności usług.
Rekomendacja
Zaleca się aktualizację python-cryptography do wersji 49.0.0 lub nowszej.
Inne podatności w python-cryptography
Zobacz wszystkie- CVE-2020-25659Średnie
Podatność w bibliotece python-cryptography 3.2 umożliwia ataki timingowe Bleichenbachera na API deszyfrowania RSA. Atakujący może wykorzystać różnice czasowe w przetwarzaniu prawidłowych szyfrogramów PKCS#1 v1.5.
- CVE-2026-69248Średnie
Biblioteka python-cryptography przed wersją 49.0.0 nieprawidłowo obsługuje ograniczenia DNS w certyfikatach. Jeśli pośredni CA ogranicza nazwę do foo.example.com, a certyfikat liścia zawiera wildcard *.example.com, walidator akceptuje certyfikat wykraczający poza dozwolone nazwy, co pozwala na akceptację nieprawidłowego łańcucha certyfikatów.
Oryginalny opis (angielski, źródło NVD)
python-cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. Prior to 49.0.0, when resolving invalid certificate chains that include duplicate copies of self-signed certificates, the processing recursively invokes the same candidate, leading to an exponential blowup. Although the limitation that the chain depth cannot exceed a specified maximum depth prevents unbounded recursion and guarantees termination, an attacker-controlled certificate chain can lead the processing to easily take more than 5s to reject in testing. This amplification could form the basis for a resource exhaustion denial of service attack. The core issue arises in the recursive nature of build_chain_inner, which does not de-duplicate against previously analyzed candidates. As the correctness of validation is not affected, the integrity of a system cannot be compromised through this vector, only its availability. This issue is fixed in 49.0.0.