python-cryptography 安全漏洞 | KnowSafe漏洞情报平台

基本信息

漏洞ID：1234292
漏洞类型：输入验证错误
发布日期：2018-07-31
更新时间：2020-03-27
CVE编号：CVE-2018-10903
CNNVD-ID：CNNVD-201807-1978
漏洞平台：N/A
CVSS评分：N/A

漏洞来源

<a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201807-1978" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201807-1978</a><br/>

漏洞详情

python-cryptography是一个基于Python语言的加密标准库。python-cryptography 1.9.0版本至2.3版本（不包括2.3版本）存在安全漏洞，该漏洞源于finalize_with_tag API没有遵守标签的最小长度值的设置。攻击者可通过构造带有较小标签的无效载荷利用该漏洞绕过MAC，泄露密钥。

参考资料

来源:bugzilla.redhat.com

链接:https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-10903

来源:github.com

链接:https://github.com/pyca/cryptography/pull/4342/commits/688e0f673bfbf43fa898994326c6877f00ab19ef