p PatchFirst

CVE-2026-63374

CVE-2026-63374 · AnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofing

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

AnyIO is a high level asynchronous concurrency and networking framework that works on top of either Trio or asyncio. Prior to 4.14.2, connect_tcp() and TLSStream.wrap() can validate internationalized host names after the standard library converts them with IDNA 2003 instead of IDNA 2008. When a connection to a non-ASCII domain is hijacked or redirected, an attacker can obtain a legitimate certificate for the different ASCII hostname produced by IDNA 2003 and present it to the client, causing the malicious endpoint's certificate to validate. This issue is fixed in version 4.14.2.

CVSS 9.3 · Crítica · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • anyio

    Versiones
    • < 4.14.2: Afectada

    Sin corrección publicada

  • python-anyio Debian:12

    Versiones
    • 3.6.2-1
    • 3.7.0-1
    • 4.1.0-1
    • 4.11.0-1
    • 4.11.0-2
    • 4.11.0-3
    • 4.12.1-1
    • 4.12.1-2
    • 4.12.1-3
    • 4.15.1-1
    • 4.15.1-2
    • 4.15.1-3
    • 4.2.0-1
    • 4.3.0-1
    • 4.4.0-1
    • 4.6.0-1
    • 4.6.2-1
    • 4.6.2-2
    • 4.6.2-3
    • 4.6.2-4
    • 4.7.0-1
    • 4.8.0-1
    • 4.8.0-2
    • 4.8.0-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • python-anyio Debian:13

    Versiones
    • 4.11.0-1
    • 4.11.0-2
    • 4.11.0-3
    • 4.12.1-1
    • 4.12.1-2
    • 4.12.1-3
    • 4.15.1-1
    • 4.15.1-2
    • 4.15.1-3
    • 4.8.0-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • python-anyio Debian:14

    Versiones
    • 4.11.0-1
    • 4.11.0-2
    • 4.11.0-3
    • 4.12.1-1
    • 4.12.1-2
    • 4.12.1-3
    • 4.8.0-3
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.15.1-1

    Actualiza a 4.15.1-1

  • anyio PyPI

    Versiones
    • 1.0.0
    • 1.0.0a1
    • 1.0.0a2
    • 1.0.0b1
    • 1.0.0b2
    • 1.0.0rc1
    • 1.0.0rc2
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.2.3
    • 1.3.0
    • 1.3.1
    • 1.4.0
    • 2.0.0
    • 2.0.0b1
    • 2.0.0b2
    • 2.0.0rc1
    • 2.0.0rc2
    • 2.0.1
    • 2.0.2
    • 2.1.0
    • 2.2.0
    • 3.0.0
    • 3.0.0rc1
    • 3.0.0rc2
    • 3.0.0rc3
    • 3.0.0rc4
    • 3.0.1
    • 3.1.0
    • 3.2.0
    • 3.2.1
    • 3.3.0
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    • 3.4.0
    • 3.5.0
    • 3.6.0
    • 3.6.1
    • 3.6.2
    • 3.7.0
    • 3.7.0rc1
    • 3.7.1
    • 4.0.0
    • 4.0.0rc1
    • 4.1.0
    • 4.10.0
    • 4.11.0
    • 4.12.0
    • 4.12.1
    • 4.13.0
    • 4.14.0
    • 4.14.1
    • 4.2.0
    • 4.3.0
    • 4.4.0
    • 4.5.0
    • 4.5.1
    • 4.5.2
    • 4.6.0
    • 4.6.1
    • 4.6.2
    • 4.6.2.post1
    • 4.7.0
    • 4.8.0
    • 4.9.0
    Intervalos de versiones afectados
    • ECOSYSTEM: < 4.14.2

    Actualiza a 4.14.2

  • python-anyio Ubuntu:22.04:LTS

    Versiones
    • 2.0.2-2
    • 3.5.0-2ubuntu1
    • 3.5.0-3ubuntu2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • python-anyio Ubuntu:24.04:LTS

    Versiones
    • 3.7.0-1
    • 4.2.0-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • python-anyio Ubuntu:26.10

    Versiones
    • 4.11.0-3
    • 4.12.1-2
    • 4.12.1-3
    • 4.15.1-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • python-anyio Ubuntu:26.04:LTS

    Versiones
    • 4.8.0-3
    • 4.11.0-2
    • 4.11.0-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →