CVE-2026-69249 in cryptography
要約
〜によって VulDB • 2026年08月04日
python-cryptographyは、Python開発者に暗号学的プリミティブやレシピを公開するために設計されたパッケージです。バージョン49.0.0より前では、自己署名証明書の重複コピーを含む無効な証明書チェーンの解決時に、同じ候補に対して再帰的に呼び出しが行われるため、指数関数的に処理量が増大する（exponential blowup）問題がありました。チェーン深度が指定された最大値を超えないという制限により無限再帰は防止され終了性が保証されていますが、攻撃者が制御できる証明書チェーンを使用すると、テスト環境において拒否判定までに5秒以上かかることが容易に発生します。この増幅効果は、リソース枯渇型サービス妨害（DoS）攻撃の基盤となり得ます。根本的な問題は、以前分析された候補に対して重複排除を行わないbuild_chain_inner関数の再帰的な性質にあります。検証の正確性には影響がないため、このベクトルを通じてシステムの整合性を損なうことはできませんが、可用性のみを侵害する可能性があります。本問題はバージョン49.0.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.