GHSA-6q48-6c7w-9gw2

Krytyczne

Opublikowano: —Przetłumaczono: 28/10/2026(UTC)NVD NIST

Streszczenie

Certifi w wersjach przed 2026.10.18 zawiera w dołączonym magazynie CA certyfikat główny emSign ECC Root CA - G3. Osiem certyfikatów pośrednich eMudhra łańcuchujących się do tego korzenia ma skompromitowane klucze prywatne, a CA je unieważniła. Atakujący posiadający jeden ze skompromitowanych kluczy może wystawiać certyfikaty.

Ocena ryzyka

Atakujący z przejętym kluczem pośredniego CA może wystawić fałszywe certyfikaty zaufane przez aplikacje używające Certifi, umożliwiając podszywanie się pod serwery i ataki man-in-the-middle. Ryzyko dotyczy aplikacji w Pythonie polegających na tym magazynie zaufania.

Rekomendacja

Zaktualizuj pakiet Certifi do wersji 2026.10.18 lub nowszej, aby usunąć skompromitowane certyfikaty z magazynu zaufania.

Inne podatności w Certifi

CVE-2023-37920Wysokie
Certifi, zbiór certyfikatów głównych do weryfikacji SSL, przed wersją 2023.07.22 uznawał certyfikaty główne 'e-Tugra'. Po zgłoszeniu problemów z bezpieczeństwem w systemach 'e-Tugra', certyfikaty te zostały usunięte z magazynu certyfikatów w wersji 2023.07.22.

Oryginalny opis (angielski, źródło NVD)

Certifi versions before 2026.10.18 include the `emSign ECC Root CA - G3` root certificate in their bundled CA store. Eight eMudhra intermediate CA certificates that chain to this root have compromised private keys and the CA has revoked them. An attacker with one of the compromised keys can issue

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS