CVE-2022-40897mediumCWE-1333

CVE-2022-40897

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear setuptools+ Monitorear setuptools

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.9epss 2.6%
En resumen

Un fallo en setuptools permite a atacantes bloquear el proceso de instalación de paquetes creando contenido HTML especialmente elaborado. Al procesar información de paquetes, una expresión regular vulnerable consume recursos excesivos y congela el sistema.

Detalle técnico

Una vulnerabilidad ReDoS en el archivo package_index.py de setuptools permite a atacantes remotos causar negación de servicio al servir HTML malicioso en metadatos de paquetes personalizados o páginas de PackageIndex. El patrón de expresión regular vulnerable provoca retroceso exponencial al procesar entrada adversaria, impactando la disponibilidad durante la instalación de paquetes o consultas de índice.

Resumen generado y traducido por IA a partir de la descripción oficial.
Python Packaging Authority (PyPA) setuptools before 65.5.1 allows remote attackers to cause a denial of service via HTML in a crafted package or custom PackageIndex page. There is a Regular Expression Denial of Service (ReDoS) in package_index.py.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
n/a · n/a