Vulnerabilidad en Python en Windows (CVE-2022-26488)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-426
Ruta de búsqueda no confiable
Fecha de publicación:
10/03/2022
Última modificación:
07/11/2023
Descripción
En Python versiones anteriores a 3.10.3 en Windows, los usuarios locales pueden alcanzar privilegios porque la ruta de búsqueda no está asegurada apropiadamente. El instalador puede permitir a un atacante local añadir directorios escribibles por el usuario a la ruta de búsqueda del sistema. Para explotarla, un administrador debe haber instalado Python para todos los usuarios y habilitar las entradas PATH. Un usuario no administrador puede desencadenar una reparación que añada incorrectamente rutas escribibles por el usuario en el PATH, permitiendo el secuestro de la ruta de búsqueda de otros usuarios y servicios del sistema. Esto afecta a Python (CPython) versiones hasta 3.7.12, versiones 3.8.x hasta 3.8.12, versiones 3.9.x hasta 3.9.10, y versiones 3.10.x hasta 3.10.2
Impacto
Puntuación base 3.x
7.00
Gravedad 3.x
ALTA
Puntuación base 2.0
4.40
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:python:python:*:*:*:*:*:*:*:* | 3.7.12 (incluyendo) | |
cpe:2.3:a:python:python:*:*:*:*:*:*:*:* | 3.8.0 (incluyendo) | 3.8.12 (incluyendo) |
cpe:2.3:a:python:python:*:*:*:*:*:*:*:* | 3.9.0 (incluyendo) | 3.9.10 (incluyendo) |
cpe:2.3:a:python:python:*:*:*:*:*:*:*:* | 3.10.0 (incluyendo) | 3.10.2 (incluyendo) |
cpe:2.3:a:python:python:3.11.0:alpha1:*:*:*:*:*:* | ||
cpe:2.3:a:python:python:3.11.0:alpha2:*:*:*:*:*:* | ||
cpe:2.3:a:python:python:3.11.0:alpha3:*:*:*:*:*:* | ||
cpe:2.3:a:python:python:3.11.0:alpha4:*:*:*:*:*:* | ||
cpe:2.3:a:python:python:3.11.0:alpha5:*:*:*:*:*:* | ||
cpe:2.3:a:python:python:3.11.0:alpha6:*:*:*:*:*:* | ||
cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:* | ||
cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:windows:*:* | ||
cpe:2.3:a:netapp:ontap_select_deploy_administration_utility:-:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página