[TLP:CLEAR] Python opravuje niekoľko zraniteľností

Python verziami 3.13.0RC2, 3.12.6, 3.11.10, 3.10.15, 3.9.20, a 3.8.20 opravuje niekoľko zraniteľností, pričom viaceré z nich nemajú pridelený identifikátor CVE [1]. Najzávažnejšie zraniteľnosti sú uvedené nižšie. Zraniteľnosti zatiaľ opravil Slackware [2]. Debian a Ubuntu opravilo iba niektoré zraniteľnosti v niektorých vydaniach. Gentoo má niektoré opravené verzie dostupné v stabilnej verzii a niektoré v testovacej verzii [3].

Python - wrong IP type (CVE-2024-4032)
CVSS 7.5 (High)

Vzdialenému neautentizovanému útočníkovi je umožnené neoprávnene sa vydávať za privátnu alebo globálnu IP adresu [1].

Zraniteľnosť sa nachádza v produkte:

  • Python; >=3.12, <3.12.6; >=3.11, <3.11.10; >=3.10, <3.10.15; >=3.9, <3.9.20; >=3.8, <3.8.20;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Python - incorrect directory permissions (CVE-2024-4030)
CVSS 7.1 (High)

Autentizovanému lokálnemu útočníkovi je umožnené získať zvýšené oprávnenia do priečinkov. Zneužitie zraniteľnosti je možné iba na systémoch Windows a iba v prípade, že bolo menené umiestnenie dočasného priečinku [1][4].

Zraniteľnosť sa nachádza v produkte:

  • Python; >=3.12, <3.12.6; >=3.11, <3.11.10; >=3.10, <3.10.15; >=3.9, <3.9.20; >=3.8, <3.8.20;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Python - type confusion

Autentizovanému lokálnemu útočníkovi je umožnené neoprávnene pristupovať do pamäte, čím môže dôjsť k poškodeniu dát, neoprávnenému čítaniu informácií, DoS útoku a potenciálne k spúšťaniu kódu [1].

Zraniteľnosť sa nachádza v produkte:

  • Python; >=3.12, <3.12.6; >=3.11, <3.11.10; >=3.10, <3.10.15; >=3.9, <3.9.20; >=3.8, <3.8.20;

Viac informácií:

  • CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 9. 2024.

Za CESNET, z.s.p.o. Martin Krajči dňa 16. 9. 2024.

CESNET, z.s.p.o. Logo