CVE-2026-19553
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
ssl.SSLContext.wrap_bio() nie wymagała argumentu nazwa_hosta_serwera
nie mieć wartości None, jeśli ustawiono ssl.SSLContext.check_hostname. Ze względu na
brak sprawdzenia parametru w SSLObject, jeśli argument nazwa_hosta_serwera
nie zostanie podany, weryfikacja nazwy hosta zostanie po cichu pominięta.
Ta wada może prowadzić do programów, w których weryfikacja nazwy hosta odbywa się za pomocą certyfikatu
*wydawało się*, że SSLContext.check_hostname = Prawda i nie
Zgłaszany jest błąd ValueError z powodu błędnej konfiguracji.
Jeśli program przekazuje wartość nazwa_hosta_serwera, która nie jest pustym ciągiem
lub Brak dla któregokolwiek z tych interfejsów API, a następnie potwierdź weryfikację nazwy hosta
przebiega zgodnie z oczekiwaniami, a program nie jest dotknięty tą luką.
Ograniczenie tej luki nie wymaga aktualizacji języka Python ani stosowania
łatka. Aby złagodzić skutki, przekaż prawidłowy nie-None i niepusty
wartość nazwa_hosta_serwera na SSLContext.wrap_bio(),
asyncio.create_connection() lub asyncio.loop.start_tls() i
weryfikacja nazwy hosta certyfikatu przebiegnie zgodnie z oczekiwaniami. Aktualizacja do
najnowsza wersja Pythona lub zastosowanie łatki powoduje jedynie zmianę
zachowanie od cichego pomijania weryfikacji nazwy hosta do podnoszenia a
ValueError, podobny do SSLContext.wrap_socket(), gdy nazwa_hosta_serwera
nie jest dostarczany.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/python/cpython/commit/1697ea386c707142555d98a1263176bbbc014a96
- https://github.com/python/cpython/commit/641390146a16a38e6701923f4ee4f1940ae77082
- https://github.com/python/cpython/commit/966bf426d0b6c31c1b0a255ff14a17143a466ced
- https://github.com/python/cpython/commit/f4e43ba525187282f2011da0e6ffc0d2b08d8062
- https://github.com/python/cpython/issues/156793
- https://github.com/python/cpython/pull/158503
- https://mail.python.org/archives/list/[email protected]/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/
- http://www.openwall.com/lists/oss-security/2026/09/30/16
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org