CVE-2026-19445
Açıklama
Uzaktan, kimlik doğrulaması yapmamış bir TLS istemcisi, eğer sni_callback fonksiyonu SSLSocket.context'e farklı bir bağlam atarsa (sunucu adına göre sertifika seçmenin belgelenmiş yolu) ve başka hiçbir şey orijinal ssl.SSLContext nesnesini hayatta tutmazsa, sunucunun çökmesine veya serbest bırakılmış bir işaretçi üzerinden çağrı yapılmasına neden olabilir. Tipik durumlar, her bağlantı için bir SSLContext oluşturan veya bağlantılar açıkken bunu değiştiren sunuculardır; dinleme soketlerini bununla sarmalayan sunucular etkilenmez. Hafifletme: sni_callback ayarlayan her SSLContext için sunucu ömrü boyunca bir referans tutun. TLS istemcileri etkilenmez.
Nasıl düzeltilir
- Python Software Foundation CPython3.10.22, 3.11.17, 3.12.15, 3.13.16, 3.14.8, 3.15.0rc3 ya da sonraki bir sürüm
- github.com/python/cpython/pull/158504
- github.com/python/cpython/commit/34a53dce8174da2fceb12fe084a4def02a10053d
- github.com/python/cpython/commit/46133cd57d309652139ada74014aca7665ac552b
- github.com/python/cpython/commit/63fab143d94cafae71850831acfb52041ba44af7
- github.com/python/cpython/commit/cd7e51e7d4563866fbaa1e2521ae69b45daf3698
- github.com/python/cpython/commit/d8717ed01717a9641686e6e6f83f0ab8af235e2c
- github.com/python/cpython/commit/b12968cefe69ca1dcb8606c832ff73ee7dbf4ba8
- github.com/python/cpython/commit/ec44b5a3258cbda947d5e07242ee562ed05ef24b
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Python Software Foundation CPython | v < 3.10.22, 3.11.0 ≤ v < 3.11.17, 3.12.0 ≤ v < 3.12.15, 3.13.0 ≤ v < 3.13.16, 3.14.0 ≤ v < 3.14.8, 3.15.0a1 ≤ v < 3.15.0rc3 | 3.10.22, 3.11.17, 3.12.15, 3.13.16, 3.14.8, 3.15.0rc3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.