Der gebündelte CA-Speicher von uv vertraut einem emSign-Root-Zertifikat mit kompromittierten Intermediate-CA-Schlüsseln
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Standardmäßig überprüft uv TLS-Verbindungen anhand einer mitgelieferten Kopie des Pakets webpki-root-certs. Versionen vor 0.13.4 enthalten das Root-Zertifikat emSign ECC Root CA - G3. Acht Zwischen-CA-Zertifikate von eMudhra, die auf dieses Root-Zertifikat zurückgehen, weisen kompromittierte private Schlüssel auf und wurden von der CA widerrufen.
Ein Angreifer mit einem dieser kompromittierten Schlüssel kann Zertifikate ausstellen, die uv für beliebige Hostnamen akzeptiert, was Man-in-the-Middle-Angriffe (MITM) ermöglicht.
uv 0.13.4 entfernt das Root-Zertifikat aus dem gebündelten Paket, entsprechend webpki-root-certs 1.0.10.
Was zu tun ist
Aktualisieren Sie auf 0.13.4 oder höher.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | uv | < 0.13.4 | 0.13.4 |
Verweise
- https://github.com/astral-sh/uv/security/advisories/GHSA-hq85-5cpj-mr62
- https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2
- https://emudhra.we-have-a-problem.com
- https://github.com/astral-sh/uv
- https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/0R3XLJL6FuE/m/0XofdebrAAAJ
- https://pypi.org/project/uv
- https://github.com/advisories/GHSA-hq85-5cpj-mr62
- CVSS-Vektor
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-295- Plattform
- Python (PyPI)
- Paket
uv- Veröffentlicht
- 20.10.2026
- Aktualisiert
- 21.10.2026 00:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-hq85-5cpj-mr62 - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-4321 - PyPA Advisory Database; CC BY 4.0
Schwachstellenhistorie: uv
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 7
- Erste → letzte
- 08.2025 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 1
- Mittel 4
- Niedrig 2
Veröffentlichungen pro Jahr
- 2025: 3
- 2026: 4
-
Der gebündelte CA-Speicher von uv vertraut einem emSign-Root-Zertifikat mit kompromittierten Intermediate-CA-Schlüsseln dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.