При распаковке созданных zip-файлов с использованием стандарта bzip/LZMA/Z. сжатия, Python может использовать размер, контролируемый злоумышленником, для предварительно выделить память, что может привести к исчерпанию памяти.
Показать оригинальное описание (EN)
When decompressing crafted zip files using the bzip/LZMA/Zstandard compressions, Python could use an attacker-controlled size to pre-allocate memory, possibly resulting in memory exhaustion.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Активное
Нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
python software foundation:cpython
Ссылки 7
https://github.com/python/cpython/issues/156002
cna@python.org
https://github.com/python/cpython/pull/156003
cna@python.org
https://mail.python.org/archives/list/security-announce@python.org/thread/YUHXU…
cna@python.org
https://github.com/python/cpython/commit/f897dbf2f36a5935700b7c2d94d4681d2136b7…
cna@python.org
https://github.com/python/cpython/commit/1b424c0178a01e155fd0267dc28a8fc1159b33…
cna@python.org
https://github.com/python/cpython/commit/31980e84b9a708424a0a1dfecde3fc991e313f…
NVD
https://github.com/python/cpython/commit/e2311cfb3dd518f008f312fe0631f4f7490d23…
cna@python.org