CVE-2023-40217
Açıklama
Python'un 3.8.18 öncesi, 3.9.x'in 3.9.18 öncesi, 3.10.x'in 3.10.13 öncesi ve 3.11.x'in 3.11.5 öncesi sürümlerinde bir sorun tespit edilmiştir. Bu durum öncelikle TLS istemci kimlik doğrulaması kullanan sunucuları (HTTP sunucuları gibi) etkilemektedir. Eğer bir TLS sunucu tarafı soketi oluşturulursa, soket tamponuna veri alınırsa ve ardından hızlıca kapatılırsa; SSLSocket örneğinin soketi "bağlı değil" olarak algılayacağı ve el sıkışmayı başlatmayacağı, ancak tamponlanmış verilerin hala soket tamponundan okunabileceği kısa bir pencere oluşur. Sunucu tarafındaki TLS eşi istemci sertifikası kimlik doğrulaması bekliyorsa, bu veriler kimlik doğrulamasına tabi tutulmaz ve geçerli TLS akış verilerinden ayırt edilemez. Veri boyutu, tampona sığacak miktar ile sınırlıdır. (TLS bağlantısı doğrudan veri sızdırma için kullanılamaz çünkü savunmasız kod yolu, SSLSocket başlatıldığında bağlantının kapatılmasını gerektirir.)
Nasıl düzeltilir
- python python3.8.18, 3.9.18, 3.10.13, 3.11.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python python | v < 3.8.18, 3.9.0 ≤ v < 3.9.18, 3.10.0 ≤ v < 3.10.13, 3.11.0 ≤ v < 3.11.5 | 3.8.18, 3.9.18, 3.10.13, 3.11.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.