PT-2026-32487
CVE-2026-6100
·
تاريخ النشر
2026-04-13
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Python (الإصدارات المتأثرة غير محددة)
الوصف
يوجد عيب «استخدام بعد التحرير» (use-after-free) في وحدات فك الضغط في Python، وتحديدًا في
lzma.LZMADecompressor وbz2.BZ2Decompressor وgzip.GzipFile. تحدث هذه المشكلة عندما يعيد برنامج ما استخدام كائن فك الضغط بعد حدوث خطأ MemoryError بسبب فشل في تخصيص الذاكرة، وعادةً ما يحدث ذلك خلال فترات الضغط الشديد على الذاكرة. و«استخدام بعد التحرير» هو حالة يستمر فيها البرنامج في استخدام مؤشر بعد تحريره، مما قد يؤدي إلى تلف الذاكرة. قد يتيح استغلال هذا الخلل للمهاجم تنفيذ تعليمات برمجية عشوائية أو الوصول إلى بيانات حساسة. لا توجد هذه المشكلة عند استخدام وظائف فك الضغط المساعدة التي تُستدعى مرة واحدة فقط، مثل lzma.decompress() وbz2.decompress() وgzip.decompress() وzlib.decompress()، حيث إنها تنشئ مثيلًا جديدًا لكل استدعاء.التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
كإجراء مؤقت، تجنب إعادة استخدام مثيلات أداة فك الضغط في عدة استدعاءات في حالة حدوث خطأ
MemoryError.قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾