Vulnerabilidad en una bomba ZIP en la biblioteca Lib/zipfile.py en Python (CVE-2019-9674)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
04/02/2020
Última modificación:
31/12/2025
Descripción
La biblioteca Lib/zipfile.py en Python versiones hasta 3.7.2, permite a atacantes remotos causar una denegación de servicio (consumo de recursos) por medio de una bomba ZIP.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:python:python:*:*:*:*:*:*:*:* | 3.2 (incluyendo) | 3.8 (incluyendo) |
| cpe:2.3:o:canonical:ubuntu_linux:12.04:*:*:*:-:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:14.04:*:*:*:esm:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:16.04:*:*:*:esm:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:18.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:20.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://lists.opensuse.org/opensuse-security-announce/2020-03/msg00003.html
- http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00041.html
- https://bugs.python.org/issue36260
- https://bugs.python.org/issue36462
- https://github.com/python/cpython/blob/master/Lib/zipfile.py
- https://python-security.readthedocs.io/security.html#archives-and-zip-bomb
- https://security.netapp.com/advisory/ntap-20200221-0003/
- https://usn.ubuntu.com/4428-1/
- https://www.python.org/news/security/
- http://lists.opensuse.org/opensuse-security-announce/2020-03/msg00003.html
- http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00041.html
- https://bugs.python.org/issue36260
- https://bugs.python.org/issue36462
- https://github.com/python/cpython/blob/master/Lib/zipfile.py
- https://python-security.readthedocs.io/security.html#archives-and-zip-bomb
- https://security.netapp.com/advisory/ntap-20200221-0003/
- https://usn.ubuntu.com/4428-1/
- https://www.python.org/news/security/



