CVE-2024-39689highCWE-345

CVE-2024-39689: fallo de gravedad alta en certifi python-certifi

Certifi removes GLOBALTRUST root certificate

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear python-certifi+ Monitorear python-certifi

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 1.0%
En resumen

Certifi, una biblioteca que almacena certificados raíz confiables para validar conexiones SSL, eliminó certificados de GLOBALTRUST debido a problemas de cumplimiento normativo. Esto impide que los sitios web que utilizan certificados GLOBALTRUST sean confiables por las aplicaciones que utilizan la versión actualizada de Certifi.

Detalle técnico

Certifi en versiones 2021.5.30 hasta 2024.7.3 aceptaba certificados raíz de GLOBALTRUST para verificación de hosts TLS. La versión 2024.7.4 eliminó estos certificados del almacén de confianza siguiendo la acción de Mozilla e investigaciones que identificaron incumplimiento normativo. Las aplicaciones que dependen de versiones antiguas de Certifi o que confían en certificados GLOBALTRUST experimentarán fallos en la validación de certificados.

Resumen generado y traducido por IA a partir de la descripción oficial.
Certifi is a curated collection of Root Certificates for validating the trustworthiness of SSL certificates while verifying the identity of TLS hosts. Certifi starting in 2021.5.30 and prior to 2024.7.4 recognized root certificates from `GLOBALTRUST`. Certifi 2024.7.04 removes root certificates from `GLOBALTRUST` from the root store. These are in the process of being removed from Mozilla's trust store. `GLOBALTRUST`'s root certificates are being removed pursuant to an investigation which identified "long-running and unresolved compliance issues."
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Productos afectados
certifi · python-certifi
CVEs relacionadas — certifi python-certifi

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-37920HIGHCertifi's removal of e-Tugra root certificateEPSS 0.6%CVE-2022-23491MEDIUMRemoval of TrustCor root certificateEPSS 0.5%