El almacén de CA integrado en uv confía en una raíz de emSign cuyas claves de CA intermedias están comprometidas
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
De forma predeterminada, uv verifica las conexiones TLS utilizando una copia integrada del paquete webpki-root-certs. Las versiones anteriores a 0.13.4 incluyen la raíz emSign ECC Root CA - G3. Ocho certificados de CA intermedias de eMudhra encadenados a dicha raíz presentan claves privadas comprometidas y han sido revocados por la entidad emisora.
Un atacante que posea una de las claves comprometidas puede emitir certificados que uv aceptará para cualquier nombre de host, lo que permite realizar ataques de intermediario (MITM).
uv 0.13.4 elimina dicha raíz de su paquete integrado, siguiendo a webpki-root-certs 1.0.10.
Qué hacer
Actualice a 0.13.4 o posterior.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | uv | < 0.13.4 | 0.13.4 |
Referencias
- https://github.com/astral-sh/uv/security/advisories/GHSA-hq85-5cpj-mr62
- https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2
- https://emudhra.we-have-a-problem.com
- https://github.com/astral-sh/uv
- https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/0R3XLJL6FuE/m/0XofdebrAAAJ
- https://pypi.org/project/uv
- https://github.com/advisories/GHSA-hq85-5cpj-mr62
- Vector CVSS
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-295- Plataforma
- Python (PyPI)
- Paquete
uv- Publicada
- 20.10.2026
- Actualizado
- 21.10.2026 00:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-hq85-5cpj-mr62 - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-4321 - PyPA Advisory Database; CC BY 4.0
Historial de vulnerabilidades: uv
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 7
- Primera → última
- 08.2025 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Media 4
- Baja 2
Divulgaciones por año
- 2025: 3
- 2026: 4
-
El almacén de CA integrado en uv confía en una raíz de emSign cuyas claves de CA intermedias están comprometidas esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.