CVE-2022-40897
CVE-2022-40897
En resumen
Un fallo en setuptools permite a atacantes bloquear el proceso de instalación de paquetes creando contenido HTML especialmente elaborado. Al procesar información de paquetes, una expresión regular vulnerable consume recursos excesivos y congela el sistema.
Detalle técnico
Una vulnerabilidad ReDoS en el archivo package_index.py de setuptools permite a atacantes remotos causar negación de servicio al servir HTML malicioso en metadatos de paquetes personalizados o páginas de PackageIndex. El patrón de expresión regular vulnerable provoca retroceso exponencial al procesar entrada adversaria, impactando la disponibilidad durante la instalación de paquetes o consultas de índice.
Resumen generado y traducido por IA a partir de la descripción oficial.
Python Packaging Authority (PyPA) setuptools before 65.5.1 allows remote attackers to cause a denial of service via HTML in a crafted package or custom PackageIndex page. There is a Regular Expression Denial of Service (ReDoS) in package_index.py.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
n/a · n/a¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →Referencias
https://github.com/pypa/setuptools/blob/fe8a98e696241487ba6ac9f91faa38ade939ec5d/setuptools/package_index.py#L200https://github.com/pypa/setuptools/commit/43a9c9bfa6aa626ec2a22540bea28d2ca77964behttps://github.com/pypa/setuptools/compare/v65.5.0...v65.5.1https://lists.debian.org/debian-lts-announce/2024/09/msg00018.htmlhttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ADES3NLOE5QJKBLGNZNI2RGVOSQXA37R/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YNA2BAH2ACBZ4TVJZKFLCR7L23BG5C3H/https://pyup.io/posts/pyup-discovers-redos-vulnerabilities-in-top-python-packages/https://pyup.io/vulnerabilities/CVE-2022-40897/52495/https://security.netapp.com/advisory/ntap-20230214-0001/https://security.netapp.com/advisory/ntap-20240621-0006/