CVE-2023-37920

WysokieCVSS 7.5

Opublikowano: 25/07/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

Certifi, zbiór certyfikatów głównych do weryfikacji SSL, przed wersją 2023.07.22 uznawał certyfikaty główne 'e-Tugra'. Po zgłoszeniu problemów z bezpieczeństwem w systemach 'e-Tugra', certyfikaty te zostały usunięte z magazynu certyfikatów w wersji 2023.07.22.

Ocena ryzyka

Używanie certyfikatów 'e-Tugra' może prowadzić do naruszenia bezpieczeństwa, ponieważ były one przedmiotem dochodzenia związanego z problemami bezpieczeństwa. Organizacje mogą być narażone na ataki, jeśli nadal polegają na tych certyfikatach.

Rekomendacja

Zaleca się aktualizację do wersji Certifi 2023.07.22 lub nowszej, aby usunąć certyfikaty 'e-Tugra' z magazynu. Należy również przeprowadzić audyt używanych certyfikatów w systemach.

Inne podatności w Certifi

GHSA-6q48-6c7w-9gw2Krytyczne
Certifi w wersjach przed 2026.10.18 zawiera w dołączonym magazynie CA certyfikat główny emSign ECC Root CA - G3. Osiem certyfikatów pośrednich eMudhra łańcuchujących się do tego korzenia ma skompromitowane klucze prywatne, a CA je unieważniła. Atakujący posiadający jeden ze skompromitowanych kluczy może wystawiać certyfikaty.

Oryginalny opis (angielski, źródło NVD)

Certifi is a curated collection of Root Certificates for validating the trustworthiness of SSL certificates while verifying the identity of TLS hosts. Certifi prior to version 2023.07.22 recognizes "e-Tugra" root certificates. e-Tugra's root certificates were subject to an investigation prompted by reporting of security issues in their systems. Certifi 2023.07.22 removes root certificates from "e-Tugra" from the root store.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS