CVE-2026-69249 in cryptography
Résumé
par VulDB • 04/08/2026
python-cryptography est un package conçu pour exposer des primitives et recettes cryptographiques aux développeurs Python. Avant la version 49.0.0, lors de la résolution de chaînes de certificats invalides incluant des copies dupliquées de certificats auto-signés, le traitement invoquait récursivement le même candidat, entraînant une explosion exponentielle du temps de calcul. Bien que la limitation imposant que la profondeur de la chaîne ne puisse pas dépasser un maximum spécifié empêche la récursion non bornée et garantisse l'arrêt du processus (termination), une chaîne de certificats contrôlée par un attaquant peut amener le traitement à mettre plus de 5 secondes pour rejeter cette dernière lors des tests. Cette amplification pourrait servir de base à une attaque par déni de service visant l'épuisement des ressources (DoS). Le problème fondamental réside dans la nature récursive de `build_chain_inner`, qui ne permet pas d'éliminer les doublons parmi les candidats déjà analysés. La validité de la validation n'étant pas affectée, l'intégrité du système ne peut être compromise par ce vecteur ; seule sa disponibilité est impactée. Ce problème a été corrigé dans la version 49.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.