CVE-2026-6100
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
W bibliotece standardowej Pythona wykryto podatność use-after-free w klasach `lzma.LZMADecompressor`, `bz2.BZ2Decompressor` i `gzip.GzipFile`. Problem występuje, gdy alokacja pamięci zakończy się błędem `MemoryError`, a instancja dekompresora jest ponownie używana. Luka została załatana przez usunięcie wiszącego wskaźnika w tym konkretnym scenariuszu.
Ocena ryzyka
Organizacja może być narażona na nieprzewidziane zachowanie lub potencjalne wykorzystanie luki, jeśli proces działa pod presją pamięci i ponownie używa instancji dekompresora po błędzie `MemoryError`. Może to prowadzić do awarii aplikacji lub innych niepożądanych skutków.
Rekomendacja
Zaleca się aktualizację Pythona do wersji zawierającej poprawkę. Jeśli aktualizacja nie jest możliwa, należy unikać ponownego używania instancji dekompresora po wystąpieniu błędu `MemoryError` i zamiast tego tworzyć nową instancję dla każdej operacji dekompresji.
Inne podatności w Python
Zobacz wszystkie- CVE-2013-7338Wysokie
Python w wersjach przed 3.3.4 RC1 umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez wprowadzenie wartości rozmiaru pliku większej niż rozmiar pliku zip w funkcjach związanych z odczytem i ekstrakcją plików zip.
- CVE-2022-42919Wysokie
Podatność w Pythonie 3.9.x przed 3.9.16 i 3.10.x przed 3.10.9 na systemie Linux umożliwia lokalną eskalację uprawnień w niestandardowej konfiguracji. Biblioteka multiprocessing z metodą startową forkserver pozwala na deserializację pickle'ów od dowolnego użytkownika w tej samej sieci lokalnej maszyny.
- CVE-2026-1299Średnie
Moduł email w Pythonie, a konkretnie klasa BytesGenerator, nieprawidłowo cytuje znaki nowej linii w nagłówkach wiadomości podczas serializacji, co umożliwia wstrzyknięcie nagłówka. Problem dotyczy tylko użycia LiteralHeader, które nie respektuje składania nagłówków.
- CVE-2023-27043Średnie
Moduł email w Pythonie do wersji 3.11.3 błędnie parsuje adresy e-mail zawierające znaki specjalne. Nieprawidłowa część nagłówka RFC2822 jest identyfikowana jako wartość addr-spec.
- CVE-2023-24329Wysokie
Podatność w komponencie urllib.parse języka Python przed wersją 3.11.4 umożliwia atakującym ominięcie metod blokowania poprzez dostarczenie adresu URL rozpoczynającego się od znaków pustych.
- CVE-2020-10735Wysokie
W Pythonie znaleziono błąd. W algorytmach o kwadratowej złożoności czasowej używających niebinarnych baz, przy użyciu int("text"), system może potrzebować 50ms na sparsowanie int stringa z 100 000 cyfr i 5s dla 1 000 000 cyfr (float, decimal, int.from_bytes() i int() dla baz binarnych 2, 4, 8, 16 i 32 nie są dotknięte). Największe zagrożenie z tej podatności to dostępność systemu.
- CVE-2021-3737Wysokie
W Pythonie wykryto błąd w kodzie klienta HTTP, który przy nieprawidłowo obsłużonej odpowiedzi HTTP może spowodować zapętlenie skryptu klienta, zużywając czas procesora. Największe zagrożenie dotyczy dostępności systemu.
- CVE-2022-0391Wysokie
Błąd w module urllib.parse w Pythonie, polegający na braku sanityzacji danych wejściowych przez metodę urlparse, która pozwala na wstawianie znaków '\r' i '\n' w ścieżce URL. Umożliwia to atakującemu wprowadzenie spreparowanego URL-a, co może prowadzić do ataków typu injection. Problem dotyczy wersji Python przed 3.10.0b1, 3.9.5, 3.8.11, 3.7.11 i 3.6.14.
- CVE-2021-29921Krytyczne
W Pythonie przed wersją 3.9.5 biblioteka ipaddress nieprawidłowo obsługuje wiodące zera w oktetach adresu IP. W niektórych sytuacjach pozwala to atakującym obejść kontrolę dostępu opartą na adresach IP.
- CVE-2021-23336Średnie
Pakiety python/cpython w wersjach do 3.6.13, od 3.7.0 do 3.7.10, od 3.8.0 do 3.8.8 oraz od 3.9.0 do 3.9.2 są podatne na zatruwanie pamięci podręcznej sieci (Web Cache Poisoning) poprzez funkcje urllib.parse.parse_qsl i urllib.parse.parse_qs. Atakujący może wykorzystać technikę zwaną ukrywaniem parametrów, rozdzielając parametry zapytania średnikiem (;), co powoduje różnice w interpretacji żądania między serwerem proxy a serwerem.
Oryginalny opis (angielski, źródło NVD)
Use-after-free (UAF) was possible in the `lzma.LZMADecompressor`, `bz2.BZ2Decompressor`, and `gzip.GzipFile` when a memory allocation fails with a `MemoryError` and the decompression instance is re-used. This scenario can be triggered if the process is under memory pressure. The fix cleans up the dangling pointer in this specific error condition. The vulnerability is only present if the program re-uses decompressor instances across multiple decompression calls even after a `MemoryError` is raised during decompression. Using the helper functions to one-shot decompress data such as `lzma.decompress()`, `bz2.decompress()`, `gzip.decompress()`, and `zlib.decompress()` are not affected as a new decompressor instance is used per call. If the decompressor instance is not re-used after an error condition, this usage is similarly not vulnerable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS