p PatchFirst

CVE-2025-4565

CVE-2025-4565 · Unbounded recursion in Python Protobuf

This page contains facts from public vulnerability sources. Check the original advisory before updating.

Any project that uses Protobuf Pure-Python backend to parse untrusted Protocol Buffers data containing an arbitrary number of recursive groups, recursive messages or a series of SGROUP tags can be corrupted by exceeding the Python recursion limit. This can result in a Denial of service by crashing the application with a RecursionError. We recommend upgrading to version =>6.31.1 or beyond commit 17838beda2943d08b8a9d4df5b68f5f04f26d901

CVSS 8.2 · High · EPSS 0.3% · Fix available

Published
Updated

Stack: system · python

Affected products and versions

  • python-protobuf

    Versions
    • ≥ 0, < 4.25.8: Affected (semver)
    • ≥ 0, < 5.29.5: Affected (semver)
    • ≥ 0, < 6.31.1: Affected (semver)

    Update to 4.25.8

  • protobuf Debian:12

    Versions
    • 3.21.12-3
    Affected ranges
    • ECOSYSTEM: < 3.21.12-3+deb12u1

    Update to 3.21.12-3+deb12u1

  • protobuf Debian:13

    Versions
    • 3.21.12-11
    Affected ranges
    • ECOSYSTEM: < 3.21.12-11+deb13u1

    Update to 3.21.12-11+deb13u1

  • protobuf Debian:14

    Versions
    • 3.21.12-11
    Affected ranges
    • ECOSYSTEM: < 3.21.12-12

    Update to 3.21.12-12

  • protobuf PyPI

    Versions
    • 2.0.0beta
    • 2.0.3
    • 2.3.0
    • 2.4.1
    • 2.5.0
    • 2.6.0
    • 2.6.1
    • 3.0.0
    • 3.0.0a2
    • 3.0.0a3
    • 3.0.0b1
    • 3.0.0b1.post1
    • 3.0.0b1.post2
    • 3.0.0b2
    • 3.0.0b2.post1
    • 3.0.0b2.post2
    • 3.0.0b3
    • 3.0.0b4
    • 3.1.0
    • 3.1.0.post1
    • 3.10.0
    • 3.10.0rc1
    • 3.11.0
    • 3.11.0rc1
    • 3.11.0rc2
    • 3.11.1
    • 3.11.2
    • 3.11.3
    • 3.12.0
    • 3.12.0rc1
    • 3.12.0rc2
    • 3.12.1
    • 3.12.2
    • 3.12.4
    • 3.13.0
    • 3.13.0rc3
    • 3.14.0
    • 3.14.0rc1
    • 3.14.0rc2
    • 3.14.0rc3
    • 3.15.0
    • 3.15.0rc1
    • 3.15.0rc2
    • 3.15.1
    • 3.15.2
    • 3.15.3
    • 3.15.4
    • 3.15.5
    • 3.15.6
    • 3.15.7
    • 3.15.8
    • 3.16.0
    • 3.16.0rc1
    • 3.16.0rc2
    • 3.17.0
    • 3.17.0rc1
    • 3.17.0rc2
    • 3.17.1
    • 3.17.2
    • 3.17.3
    • 3.18.0
    • 3.18.0rc1
    • 3.18.0rc2
    • 3.18.1
    • 3.18.3
    • 3.19.0
    • 3.19.0rc1
    • 3.19.0rc2
    • 3.19.1
    • 3.19.2
    • 3.19.3
    • 3.19.4
    • 3.19.5
    • 3.19.6
    • 3.2.0
    • 3.2.0rc1
    • 3.2.0rc1.post1
    • 3.2.0rc2
    • 3.20.0
    • 3.20.0rc1
    • 3.20.0rc2
    • 3.20.1
    • 3.20.1rc1
    • 3.20.2
    • 3.20.3
    • 3.3.0
    • 3.4.0
    • 3.5.0.post1
    • 3.5.1
    • 3.5.2
    • 3.5.2.post1
    • 3.6.0
    • 3.6.1
    • 3.7.0
    • 3.7.0rc2
    • 3.7.0rc3
    • 3.7.1
    • 3.8.0
    • 3.8.0rc1
    • 3.9.0
    • 3.9.0rc1
    • 3.9.1
    • 3.9.2
    • 4.0.0rc1
    • 4.0.0rc2
    • 4.21.0
    • 4.21.0rc1
    • 4.21.0rc2
    • 4.21.1
    • 4.21.10
    • 4.21.11
    • 4.21.12
    • 4.21.2
    • 4.21.3
    • 4.21.4
    • 4.21.5
    • 4.21.6
    • 4.21.7
    • 4.21.8
    • 4.21.9
    • 4.22.0
    • 4.22.0rc1
    • 4.22.0rc2
    • 4.22.0rc3
    • 4.22.1
    • 4.22.3
    • 4.22.4
    • 4.22.5
    • 4.23.0
    • 4.23.0rc2
    • 4.23.0rc3
    • 4.23.1
    • 4.23.2
    • 4.23.3
    • 4.23.4
    • 4.24.0
    • 4.24.0rc1
    • 4.24.0rc2
    • 4.24.0rc3
    • 4.24.1
    • 4.24.2
    • 4.24.3
    • 4.24.4
    • 4.25.0
    • 4.25.0rc1
    • 4.25.0rc2
    • 4.25.1
    • 4.25.2
    • 4.25.3
    • 4.25.4
    • 4.25.5
    • 4.25.6
    • 4.25.7
    Affected ranges
    • ECOSYSTEM: < 4.25.8

    Update to 4.25.8

  • protobuf PyPI

    Versions
    • 5.26.0
    • 5.26.0rc1
    • 5.26.0rc2
    • 5.26.0rc3
    • 5.26.1
    • 5.27.0
    • 5.27.0rc1
    • 5.27.0rc2
    • 5.27.0rc3
    • 5.27.1
    • 5.27.2
    • 5.27.3
    • 5.27.4
    • 5.27.5
    • 5.28.0
    • 5.28.0rc1
    • 5.28.0rc2
    • 5.28.0rc3
    • 5.28.1
    • 5.28.2
    • 5.28.3
    • 5.29.0
    • 5.29.0rc1
    • 5.29.0rc2
    • 5.29.0rc3
    • 5.29.1
    • 5.29.2
    • 5.29.3
    • 5.29.4
    Affected ranges
    • ECOSYSTEM: ≥ 5.26.0rc1, < 5.29.5

    Update to 5.29.5

  • protobuf PyPI

    Versions
    • 6.30.0
    • 6.30.0rc1
    • 6.30.0rc2
    • 6.30.1
    • 6.30.2
    • 6.31.0
    • 6.31.0rc1
    • 6.31.0rc2
    Affected ranges
    • ECOSYSTEM: ≥ 6.30.0rc1, < 6.31.1

    Update to 6.31.1

  • protobuf PyPI

    Versions
    • 2.0.0beta
    • 2.0.3
    • 2.3.0
    • 2.4.1
    • 2.5.0
    • 2.6.0
    • 2.6.1
    • 3.0.0
    • 3.0.0a2
    • 3.0.0a3
    • 3.0.0b1
    • 3.0.0b1.post1
    • 3.0.0b1.post2
    • 3.0.0b2
    • 3.0.0b2.post1
    • 3.0.0b2.post2
    • 3.0.0b3
    • 3.0.0b4
    • 3.1.0
    • 3.1.0.post1
    • 3.10.0
    • 3.10.0rc1
    • 3.11.0
    • 3.11.0rc1
    • 3.11.0rc2
    • 3.11.1
    • 3.11.2
    • 3.11.3
    • 3.12.0
    • 3.12.0rc1
    • 3.12.0rc2
    • 3.12.1
    • 3.12.2
    • 3.12.4
    • 3.13.0
    • 3.13.0rc3
    • 3.14.0
    • 3.14.0rc1
    • 3.14.0rc2
    • 3.14.0rc3
    • 3.15.0
    • 3.15.0rc1
    • 3.15.0rc2
    • 3.15.1
    • 3.15.2
    • 3.15.3
    • 3.15.4
    • 3.15.5
    • 3.15.6
    • 3.15.7
    • 3.15.8
    • 3.16.0
    • 3.16.0rc1
    • 3.16.0rc2
    • 3.17.0
    • 3.17.0rc1
    • 3.17.0rc2
    • 3.17.1
    • 3.17.2
    • 3.17.3
    • 3.18.0
    • 3.18.0rc1
    • 3.18.0rc2
    • 3.18.1
    • 3.18.3
    • 3.19.0
    • 3.19.0rc1
    • 3.19.0rc2
    • 3.19.1
    • 3.19.2
    • 3.19.3
    • 3.19.4
    • 3.19.5
    • 3.19.6
    • 3.2.0
    • 3.2.0rc1
    • 3.2.0rc1.post1
    • 3.2.0rc2
    • 3.20.0
    • 3.20.0rc1
    • 3.20.0rc2
    • 3.20.1
    • 3.20.1rc1
    • 3.20.2
    • 3.20.3
    • 3.3.0
    • 3.4.0
    • 3.5.0.post1
    • 3.5.1
    • 3.5.2
    • 3.5.2.post1
    • 3.6.0
    • 3.6.1
    • 3.7.0
    • 3.7.0rc2
    • 3.7.0rc3
    • 3.7.1
    • 3.8.0
    • 3.8.0rc1
    • 3.9.0
    • 3.9.0rc1
    • 3.9.1
    • 3.9.2
    • 4.0.0rc1
    • 4.0.0rc2
    • 4.21.0
    • 4.21.0rc1
    • 4.21.0rc2
    • 4.21.1
    • 4.21.10
    • 4.21.11
    • 4.21.12
    • 4.21.2
    • 4.21.3
    • 4.21.4
    • 4.21.5
    • 4.21.6
    • 4.21.7
    • 4.21.8
    • 4.21.9
    • 4.22.0
    • 4.22.0rc1
    • 4.22.0rc2
    • 4.22.0rc3
    • 4.22.1
    • 4.22.3
    • 4.22.4
    • 4.22.5
    • 4.23.0
    • 4.23.0rc2
    • 4.23.0rc3
    • 4.23.1
    • 4.23.2
    • 4.23.3
    • 4.23.4
    • 4.24.0
    • 4.24.0rc1
    • 4.24.0rc2
    • 4.24.0rc3
    • 4.24.1
    • 4.24.2
    • 4.24.3
    • 4.24.4
    • 4.25.0
    • 4.25.0rc1
    • 4.25.0rc2
    • 4.25.1
    • 4.25.2
    • 4.25.3
    • 4.25.4
    • 4.25.5
    • 4.25.6
    • 4.25.7
    • 5.26.0
    • 5.26.0rc1
    • 5.26.0rc2
    • 5.26.0rc3
    • 5.26.1
    • 5.27.0
    • 5.27.0rc1
    • 5.27.0rc2
    • 5.27.0rc3
    • 5.27.1
    • 5.27.2
    • 5.27.3
    • 5.27.4
    • 5.27.5
    • 5.28.0
    • 5.28.0rc1
    • 5.28.0rc2
    • 5.28.0rc3
    • 5.28.1
    • 5.28.2
    • 5.28.3
    • 5.29.0
    • 5.29.0rc1
    • 5.29.0rc2
    • 5.29.0rc3
    • 5.29.1
    • 5.29.2
    • 5.29.3
    • 5.29.4
    • 6.30.0
    • 6.30.0rc1
    • 6.30.0rc2
    • 6.30.1
    • 6.30.2
    • 6.31.0
    • 6.31.0rc1
    • 6.31.0rc2
    Affected ranges
    • ECOSYSTEM: < 4.25.8 ∪ ≥ 5.26.0rc1, < 5.29.5 ∪ ≥ 6.30.0rc1, < 6.31.1

    Update to 4.25.8; Update to 5.29.5; Update to 6.31.1

  • protobuf Ubuntu:Pro:14.04:LTS

    Versions
    • 2.4.1-3ubuntu2
    • 2.4.1-3ubuntu3
    • 2.4.1-3ubuntu4
    • 2.5.0-5ubuntu2
    • 2.5.0-7ubuntu1
    • 2.5.0-8ubuntu1
    • 2.5.0-9ubuntu1
    • 2.5.0-9ubuntu1+esm1
    Affected ranges
    • ECOSYSTEM: (−∞, +∞)

    No fix published

  • protobuf Ubuntu:Pro:16.04:LTS

    Versions
    • 2.6.1-1.2
    • 2.6.1-1.3
    • 2.6.1-1.3ubuntu0.1~esm1
    • 2.6.1-1.3ubuntu0.1~esm2
    Affected ranges
    • ECOSYSTEM: < 2.6.1-1.3ubuntu0.1~esm4

    Update to 2.6.1-1.3ubuntu0.1~esm4

  • protobuf Ubuntu:Pro:18.04:LTS

    Versions
    • 3.0.0-9ubuntu5
    • 3.0.0-9ubuntu6
    • 3.0.0-9.1ubuntu1
    • 3.0.0-9.1ubuntu1.1
    Affected ranges
    • ECOSYSTEM: < 3.0.0-9.1ubuntu1.1+esm3

    Update to 3.0.0-9.1ubuntu1.1+esm3

  • protobuf Ubuntu:Pro:20.04:LTS

    Versions
    • 3.6.1.3-2
    • 3.6.1.3-2ubuntu1
    • 3.6.1.3-2ubuntu3
    • 3.6.1.3-2ubuntu4
    • 3.6.1.3-2ubuntu5
    • 3.6.1.3-2ubuntu5.2
    Affected ranges
    • ECOSYSTEM: < 3.6.1.3-2ubuntu5.2+esm2

    Update to 3.6.1.3-2ubuntu5.2+esm2

  • protobuf Ubuntu:22.04:LTS

    Versions
    • 3.12.4-1ubuntu3
    • 3.12.4-1ubuntu5
    • 3.12.4-1ubuntu6
    • 3.12.4-1ubuntu7
    • 3.12.4-1ubuntu7.22.04.1
    • 3.12.4-1ubuntu7.22.04.2
    Affected ranges
    • ECOSYSTEM: < 3.12.4-1ubuntu7.22.04.4

    Update to 3.12.4-1ubuntu7.22.04.4

  • protobuf Ubuntu:24.04:LTS

    Versions
    • 3.21.12-7ubuntu1
    • 3.21.12-8ubuntu1
    • 3.21.12-8ubuntu5
    • 3.21.12-8.2
    • 3.21.12-8.2build1
    • 3.21.12-8.2ubuntu0.1
    Affected ranges
    • ECOSYSTEM: < 3.21.12-8.2ubuntu0.2

    Update to 3.21.12-8.2ubuntu0.2

Original sources

Check your server →