Zaloguj się
Deutsch English Español Polski
Niska

Vulnerable OpenSSL included in cryptography wheels

  • Ujawniono: 21.09.2023
  • Aktualizacja: 11.10.2026 15:17

pyca/cryptography's wheels include a statically linked copy of OpenSSL. The versions of OpenSSL included in cryptography 2.5-41.0.3 are vulnerable to several security issues. More details about the vulnerabilities themselves can be found in https://www.openssl.org/news/secadv/20230908.txt.

If you are building cryptography source ("sdist") then you are responsible for upgrading your copy of OpenSSL. Only users installing from wheels built by the cryptography project (i.e., those distributed on PyPI) need to update their cryptography versions.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) cryptography >= 2.5, < 41.0.4 41.0.4

Odnośniki

Ocena CVSS -
Słabość (CWE)
-
Platforma
Python (PyPI)
Paczka
cryptography
Ujawniono
21.09.2023
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-v8gr-m533-ghj9 - CC BY 4.0

Historia podatności: cryptography

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (24) w archiwum
Wszystkich wpisów
24
Pierwsza → ostatnia
03.2017 08.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 12
  • Średnia 7
  • Niska 5

Ujawnienia w latach

Istotność:
  1. python-cryptography: Duplicate self-signed intermediates can cause exponential path-building
    Wysoka CVE-2026-69249 >= 42.0.0, < 49.0.0 49.0.0
  2. cryptography: PKCS#7 EnvelopedData decryption exposes a Bleichenbacher oracle through distinguishable errors and timing
    Wysoka CVE-2026-69247 >= 44.0.0, < 50.0.0 50.0.0
  3. Vulnerable OpenSSL included in cryptography wheels
    Wysoka · 7.5 ghsa-537c-gmf6-5ccf >= 0.5.0, < 48.0.1 48.0.1
  4. cryptography Vulnerable to a Subgroup Attack Due to Missing Subgroup Validation for SECT Curves
    Wysoka CVE-2026-26007 < 46.0.5 46.0.5
  5. cryptography NULL pointer dereference with pkcs12.serialize_key_and_certificates when called with a non-matching certificate and private key and an hmac_hash override
    Wysoka · 7.5 CVE-2024-26130 >= 38.0.0, < 42.0.4 42.0.4
  6. Python Cryptography package vulnerable to Bleichenbacher timing oracle attack
    Wysoka · 7.5 CVE-2023-50782 < 42.0.0 42.0.0
  7. Vulnerable OpenSSL included in cryptography wheels ten wpis
    Niska ghsa-v8gr-m533-ghj9 >= 2.5, < 41.0.4 41.0.4
  8. cryptography mishandles SSH certificates
    Wysoka · 7.5 CVE-2023-38325 >= 40.0.0, < 41.0.2 41.0.2
  9. Vulnerable OpenSSL included in cryptography wheels
    Wysoka · 7.4 CVE-2023-0286 >= 0.8.1, < 39.0.1 39.0.1
  10. PyCA Cryptography symmetrically encrypting large values can lead to integer overflow
    Wysoka · 9.1 CVE-2020-36242 >= 3.1, < 3.3.2 3.3.2
  11. RSA decryption vulnerable to Bleichenbacher timing vulnerability
    Wysoka · 5.9 CVE-2020-25659 < 3.2 3.2
  12. PyCA Cryptography vulnerable to GCM tag forgery
    Wysoka · 7.5 CVE-2018-10903 >= 1.9.0, < 2.3 2.3
  13. Improper input validation in cryptography
    Wysoka · 7.5 CVE-2016-9243 < 1.5.3 1.5.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.