Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Python opravuje několik zranitelností

Python verzemi 3.13.0RC2, 3.12.6, 3.11.10, 3.10.15, 3.9.20, a 3.8.20 opravuje několik zranitelností, přičemž řada z nich nemá přidělený identifikátor CVE [1]. Nejzávažnější zranitelnosti jsou uvedeny níže. Zranitelnosti zatím opravil Slackware [2]. Debian a Ubuntu opravily pouze některé zranitelnosti v některých vydáních. Gentoo má některé opravené verze dostupné ve stabilní větvi a některé v testovací větvi [3].

Python - nesprávný typ IP (CVE-2024-4032)
CVSS 7.5 (High)

Vzdálenému neautentizovanému útočníkovi je umožněno neoprávněně se vydávat za privátní nebo globální IP adresu [1].

Zranitelnost se nachází v produktu:

  • Python; >=3.12, <3.12.6; >=3.11, <3.11.10; >=3.10, <3.10.15; >=3.9, <3.9.20; >=3.8, <3.8.20;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 7. 9. 2024.

Python - nesprávná oprávnění adresářů (CVE-2024-4030)
CVSS 7.1 (High)

Autentizovanému lokálnímu útočníkovi je umožněno získat zvýšená oprávnění k adresářům. Zneužití zranitelnosti je možné pouze na systémech Windows a pouze v případě, že bylo změněno umístění dočasného adresáře [1][4].

Zranitelnost se nachází v produktu:

  • Python; >=3.12, <3.12.6; >=3.11, <3.11.10; >=3.10, <3.10.15; >=3.9, <3.9.20; >=3.8, <3.8.20;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Více informací:

Zranitelnost byla veřejně oznámena 7. 9. 2024.

Python - type confusion

Autentizovanému lokálnímu útočníkovi je umožněno neoprávněně přistupovat do paměti, čímž může dojít k poškození dat, neoprávněnému čtení informací, DoS útoku a potenciálně ke spuštění kódu [1].

Zranitelnost se nachází v produktu:

  • Python; >=3.12, <3.12.6; >=3.11, <3.11.10; >=3.10, <3.10.15; >=3.9, <3.9.20; >=3.8, <3.8.20;

Více informací:

  • CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 7. 9. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 16. 9. 2024.

CESNET, z.s.p.o. Logo