CVE-2018-10903
CVE-2018-10903
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
A flaw was found in python-cryptography versions between >=1.9.0 and <2.3. The finalize_with_tag API did not enforce a minimum tag length. If a user did not validate the input length prior to passing it to finalize_with_tag an attacker could craft an invalid payload with a shortened tag (e.g. 1 byte) such that they would have a 1 in 256 chance of passing the MAC check. GCM tag forgeries can cause key leakage.
CVSS 7.5 · Élevée · EPSS 3,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · python
Produits et versions concernés
python-cryptography
- Versions du logiciel
- 2.3: Concernée
Aucun correctif publié
python-cryptography Debian:12
- Plages de versions concernées
- ECOSYSTEM: < 2.3-1
Mettez à jour vers 2.3-1
python-cryptography Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 2.3-1
Mettez à jour vers 2.3-1
python-cryptography Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 2.3-1
Mettez à jour vers 2.3-1
cryptography PyPI
- Versions du logiciel
- 1.9
- 2.0
- 2.0.1
- 2.0.2
- 2.0.3
- 2.1
- 2.1.1
- 2.1.2
- 2.1.3
- 2.1.4
- 2.2
- 2.2.1
- 2.2.2
- Plages de versions concernées
- ECOSYSTEM: ≥ 1.9.0, < 2.3
Mettez à jour vers 2.3
cryptography PyPI
- Versions du logiciel
- 1.9
- 2.0
- 2.0.1
- 2.0.2
- 2.0.3
- 2.1
- 2.1.1
- 2.1.2
- 2.1.3
- 2.1.4
- 2.2
- 2.2.1
- 2.2.2
- Plages de versions concernées
- ECOSYSTEM: ≥ 1.9, < 2.3
Mettez à jour vers 2.3
python-cryptography Ubuntu:18.04:LTS
- Versions du logiciel
- 1.9-1
- 2.1.3-3
- 2.1.4-1
- 2.1.4-1build1
- 2.1.4-1build2
- 2.1.4-1ubuntu1
- 2.1.4-1ubuntu1.1
- Plages de versions concernées
- ECOSYSTEM: < 2.1.4-1ubuntu1.2
Mettez à jour vers 2.1.4-1ubuntu1.2