Python - CVE-2024-8088

Date de publication :

Date de mise à jour :

Un défaut de contrôle des données fournies par les utilisateurs dans le module zipfile.Path de Python permet à attaquant non authentifié, en utilisant une archive spécifiquement forgée, de provoquer un déni de service.

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Déni de service

Exploitation

La vulnérabilité exploitée est du type
CWE-835: Loop with Unreachable Exit Condition ('Infinite Loop')

Détails sur l'exploitation
•    Vecteur d'attaque : Réseau
•    Complexité de l'attaque : Faible
•    Privilèges nécessaires pour réaliser l'attaque : Aucun
•    Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•    L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

Python

Versions 3.8, 3.9, 3.10, 3.11, 3,12 et 3.13

IBM AIX

Version 7.3

IBM VIOS

Version 4.1

Solutions ou recommandations

Un correctif a été intégré aux versions Python 3.8, 3.9, 3.10, 3.11, 3,12 et 3.13. Il est recommandé de mettre à jour vers les prochaines versions stables une fois publiées.
Appliquer le correctif    python-3.9.20.0.tar.Z à IBM AIX et VIOS.
Des informations complémentaires sont disponibles dans le bulletin de Python.