Më 20 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-hq85-5cpj-mr62 për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën uv të ekosistemit PyPI.
Paketat e prekura
- uv (PyPI) — versionet e prekura:
< 0.13.4; versioni me rregullim:0.13.4
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-295 (Improper Certificate Validation)
- Identifikuesit: GHSA-hq85-5cpj-mr62
Përmbledhja zyrtare
uv u beson certifikatave të lidhura me rrënjën emSign, megjithëse çelësat e CA-ve ndërmjetëse janë komprometuar
Si parazgjedhje, uv verifikon lidhjet TLS duke përdorur një kopje të paketës webpki-root-certs, të përfshirë në program. Versionet para 0.13.4 përmbajnë certifikatën rrënjë emSign ECC Root CA – G3, me të cilën lidhen tetë certifikata të autoriteteve ndërmjetëse të certifikimit (CA) të eMudhra, çelësat privatë të të cilave janë komprometuar.
Autoriteti i certifikimit i ka revokuar këto tetë certifikata. Megjithatë, një sulmues që zotëron njërin prej çelësave të komprometuar mund të lëshojë certifikata për çfarëdo emri hosti, të cilat uv i pranon si të besueshme. Kjo mund të mundësojë sulme të ndërmjetësimit të lidhjes (MITM), duke cenuar sigurinë e komunikimeve TLS që mbështeten te ky verifikim.
Versioni uv 0.13.4 e heq certifikatën rrënjë emSign ECC Root CA – G3. Ndryshimi adreson besimin te rrënja përmes së cilës certifikatat e lëshuara me çelësat e komprometuar mund të pranohen nga uv.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin uv, përditësojeni sa më shpejt në versionin 0.13.4 ose më të ri.
