CVE-2022-40897mediumCWE-1333

CVE-2022-40897

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar setuptools+ Monitorar setuptools

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.9epss 2.6%
Em resumo

Uma falha no setuptools permite que atacantes travem o processo de instalação de pacotes ao criar conteúdo HTML especialmente elaborado. Quando processa informações de pacotes, uma expressão regular vulnerável consome recursos em excesso e congela o sistema.

Detalhe técnico

Uma vulnerabilidade ReDoS no arquivo package_index.py do setuptools permite que atacantes remotos causem negação de serviço ao fornecer HTML malicioso em metadados de pacotes ou páginas customizadas de PackageIndex. O padrão de expressão regular vulnerável causa retrocesso exponencial ao processar entrada adversária, impactando a disponibilidade durante instalação de pacotes ou consultas de índice.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Python Packaging Authority (PyPA) setuptools before 65.5.1 allows remote attackers to cause a denial of service via HTML in a crafted package or custom PackageIndex page. There is a Regular Expression Denial of Service (ReDoS) in package_index.py.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
n/a · n/a