Vulnerabilidad en la biblioteca library/glob.html en la documentación de Python (CVE-2019-17514)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

12/10/2019

Última modificación:

27/07/2020

Descripción

La biblioteca library/glob.html en la documentación de Python versiones 2 y 3 antes del 2016, presenta información potencialmente engañosa sobre si ocurre la clasificación, como es demostrado por los resultados irreproducibles de la investigación del cáncer. NOTA: los efectos de esta documentación cruzan dominios de aplicación y, por lo tanto, es probable que el código relevante para la seguridad en otros lugares este afectado. Este problema no es un error de implementación de Python, y no existen reportes de que los investigadores de RMN confiaran específicamente en la biblioteca library/glob.html. En otras palabras, debido a que la documentación más antigua declara "finds all the pathnames matching a specified pattern according to the rules used by the Unix shell," uno podría haber inferido incorrectamente que la clasificación que ocurre en un shell de Unix también se presentó para glob.glob. Existe una solución alternativa en las versiones más nuevas de Willoughby nmr-data_compilation-p2.py y nmr-data_compilation-p3.py, que llaman a la función sort() directamente.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno