ALT-PU-2026-15717-1 — python3-module-cryptography

BDU:2022-05229

CRITICAL9.1

Уязвимость пакета cryptography интерпретатора языка программирования Python, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2022-08-23Изменено: 2024-08-25

CVSS 3.xКРИТИЧЕСКАЯ 9.1

CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

CVSS 2.0КРИТИЧЕСКАЯ 10.0

CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:C/A:C

Ссылки

BDU:2023-02656

MEDIUM6.5

Уязвимость функции Cipher.update_into пакета cryptography интерпретатора языка программирования Python, позволяющая нарушителю оказать воздействие на целостность и доступность выходных данных

Опубликовано: 2023-05-16Изменено: 2025-11-18

CVSS 3.xСРЕДНЯЯ 6.5

CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

CVSS 2.0СРЕДНЯЯ 6.4

CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:P/A:P

Ссылки

BDU:2024-02534

HIGH7.5

Уязвимость функций load_pem_pkcs7_certificates() и load_der_pkcs7_certificates() пакет cryptography, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-04-02Изменено: 2025-11-18

CVSS 3.xВЫСОКАЯ 7.5

CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CVSS 2.0ВЫСОКАЯ 7.8

CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C

Ссылки

BDU:2024-03237

HIGH7.5

Уязвимость функций pkcs12.serialize_key_and_certificates пакета cryptography интерпретатора языка программирования Python, позволяющая нарушителю вызвать сбой процесса Python

Опубликовано: 2024-04-24Изменено: 2025-04-07

CVSS 3.xВЫСОКАЯ 7.5

CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CVSS 2.0ВЫСОКАЯ 7.8

CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C

Ссылки

BDU:2024-04115

HIGH7.5

Уязвимость компонента RSA Key Exchange Handler пакета python-cryptography языка программирования python, позволяющая нарушителю раскрыть конфиденциальные данных

Опубликовано: 2024-05-26Изменено: 2026-04-19

CVSS 3.xВЫСОКАЯ 7.5

CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVSS 2.0ВЫСОКАЯ 7.8

CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:N/A:N

Ссылки

CVE-2020-36242

CRITICAL9.1

In the cryptography package before 3.3.2 for Python, certain sequences of update calls to symmetrically encrypt multi-GB values could result in an integer overflow and buffer overflow, as demonstrated by the Fernet class.

Опубликовано: 2021-02-07Изменено: 2026-06-17

CVSS 2.0СРЕДНЯЯ 6.4

CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:N/A:P

CVSS 3.xКРИТИЧЕСКАЯ 9.1

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

Ссылки

CVE-2023-23931

MEDIUM6.5

cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. In affected versions `Cipher.update_into` would accept Python objects which implement the buffer protocol, but provide only immutable buffers. This would allow immutable objects (such as `bytes`) to be mutated, thus violating fundamental rules of Python and resulting in corrupted output. This now correctly raises an exception. This issue has been present since `update_into` was originally introduced in cryptography 1.8.

Опубликовано: 2023-02-07Изменено: 2026-06-17

CVSS 3.xСРЕДНЯЯ 6.5

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Ссылки

CVE-2023-49083

HIGH7.5

cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. Calling `load_pem_pkcs7_certificates` or `load_der_pkcs7_certificates` could lead to a NULL-pointer dereference and segfault. Exploitation of this vulnerability poses a serious risk of Denial of Service (DoS) for any application attempting to deserialize a PKCS7 blob/certificate. The consequences extend to potential disruptions in system availability and stability. This vulnerability has been patched in version 41.0.6.

Опубликовано: 2023-11-29Изменено: 2026-06-17

CVSS 3.xВЫСОКАЯ 7.5

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Ссылки

CVE-2023-50782

HIGH7.5

A flaw was found in the python-cryptography package. This issue may allow a remote attacker to decrypt captured messages in TLS servers that use RSA key exchanges, which may lead to exposure of confidential or sensitive data.

Опубликовано: 2024-02-05Изменено: 2026-06-17

CVSS 3.xВЫСОКАЯ 7.5

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Ссылки

CVE-2024-26130

HIGH7.5

cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. Starting in version 38.0.0 and prior to version 42.0.4, if `pkcs12.serialize_key_and_certificates` is called with both a certificate whose public key did not match the provided private key and an `encryption_algorithm` with `hmac_hash` set (via `PrivateFormat.PKCS12.encryption_builder().hmac_hash(...)`, then a NULL pointer dereference would occur, crashing the Python process. This has been resolved in version 42.0.4, the first version in which a `ValueError` is properly raised.

Опубликовано: 2024-02-21Изменено: 2026-06-17

CVSS 3.xВЫСОКАЯ 7.5

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Ссылки

GHSA-3ww4-gg4f-jr7f

HIGH8.7

Python Cryptography package vulnerable to Bleichenbacher timing oracle attack

Опубликовано: 2024-02-05Изменено: 2026-02-27

CVSS 3.x

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVSS 4.0ВЫСОКАЯ 8.7

CVSS:4.0/CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Ссылки

GHSA-6vqw-3v5j-54x4

HIGH7.5

cryptography NULL pointer dereference with pkcs12.serialize_key_and_certificates when called with a non-matching certificate and private key and an hmac_hash override

Опубликовано: 2024-02-21Изменено: 2025-02-06

CVSS 3.xВЫСОКАЯ 7.5

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Ссылки

GHSA-jfhm-5ghh-2f97

MEDIUM5.9

cryptography vulnerable to NULL-dereference when loading PKCS7 certificates

Опубликовано: 2023-11-28Изменено: 2025-11-04

CVSS 3.xСРЕДНЯЯ 5.9

CVSS:3.x/CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Ссылки

GHSA-rhm9-p9w5-fwm7

HIGH8.8

PyCA Cryptography symmetrically encrypting large values can lead to integer overflow

Опубликовано: 2021-02-10Изменено: 2024-09-13

CVSS 3.x

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

CVSS 4.0ВЫСОКАЯ 8.8

CVSS:4.0/CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N

Ссылки

GHSA-w7pp-m8wf-vj6r

MEDIUM6.9

Cipher.update_into can corrupt memory if passed an immutable python object as the outbuf

Опубликовано: 2023-02-07Изменено: 2025-11-04

CVSS 3.x

CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

CVSS 4.0

CVSS:4.0/CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N

Ссылки

Обновление пакета python3-module-cryptography в ветке sisyphus_e2k

Закрытые проблемы (15)

Уязвимость пакета cryptography интерпретатора языка программирования Python, позволяющая нарушителю выполнить произвольный код

Уязвимость функций load_pem_pkcs7_certificates() и load_der_pkcs7_certificates() пакет cryptography, позволяющая нарушителю вызвать отказ в обслуживании

Уязвимость функций pkcs12.serialize_key_and_certificates пакета cryptography интерпретатора языка программирования Python, позволяющая нарушителю вызвать сбой процесса Python

Уязвимость компонента RSA Key Exchange Handler пакета python-cryptography языка программирования python, позволяющая нарушителю раскрыть конфиденциальные данных

In the cryptography package before 3.3.2 for Python, certain sequences of update calls to symmetrically encrypt multi-GB values could result in an integer overflow and buffer overflow, as demonstrated by the Fernet class.

A flaw was found in the python-cryptography package. This issue may allow a remote attacker to decrypt captured messages in TLS servers that use RSA key exchanges, which may lead to exposure of confidential or sensitive data.

Python Cryptography package vulnerable to Bleichenbacher timing oracle attack

cryptography NULL pointer dereference with pkcs12.serialize_key_and_certificates when called with a non-matching certificate and private key and an hmac_hash override

cryptography vulnerable to NULL-dereference when loading PKCS7 certificates

PyCA Cryptography symmetrically encrypting large values can lead to integer overflow

Cipher.update_into can corrupt memory if passed an immutable python object as the outbuf

Закрытые ошибки (3)

update to 3.4.2+

Просьба собрать cryptography 3.4.7

Оставляет мусор