p PatchFirst

CVE-2025-68131

CVE-2025-68131 · CBORDecoder reuse can leak shareable values across decode calls

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

cbor2 provides encoding and decoding for the Concise Binary Object Representation (CBOR) serialization format. Starting in version 3.0.0 and prior to version 5.8.0, whhen a CBORDecoder instance is reused across multiple decode operations, values marked with the shareable tag (28) persist in memory and can be accessed by subsequent CBOR messages using the sharedref tag (29). This allows an attacker-controlled message to read data from previously decoded messages if the decoder is reused across trust boundaries. Version 5.8.0 patches the issue.

CVSS 5.5 · Средний · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: system · python

Затронутые продукты и версии

  • cbor2

    Версии
    • >= 3.0.0, < 5.8.0: Затронуто

    Нет опубликованного исправления

  • cbor2 Debian:12

    Версии
    • 5.4.6-1
    • 5.4.6-2
    • 5.5.1-1
    • 5.6.0-1
    • 5.6.1-1
    • 5.6.2-1
    • 5.6.3-1
    • 5.6.4-1
    • 5.6.5-1
    • 5.7.0-1
    • 5.7.1-1
    • 5.8.0-1
    • 5.8.0-2
    • 5.8.0-3
    • 5.9.0-1
    • 5.9.0-2
    • 5.9.0-2~bpo13+1
    • 5.9.0-2~bpo13+2
    • 6.1.2-1
    • 6.1.2-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • cbor2 Debian:13

    Версии
    • 5.6.5-1
    • 5.7.0-1
    • 5.7.1-1
    • 5.8.0-1
    • 5.8.0-2
    • 5.8.0-3
    • 5.9.0-1
    • 5.9.0-2
    • 5.9.0-2~bpo13+1
    • 5.9.0-2~bpo13+2
    • 6.1.2-1
    • 6.1.2-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • cbor2 Debian:14

    Версии
    • 5.6.5-1
    • 5.7.0-1
    • 5.7.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 5.8.0-1

    Обновитесь до 5.8.0-1

  • cbor2 PyPI

    Версии
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 3.0.3
    • 3.0.4
    • 4.0.0
    • 4.0.1
    • 4.1.0
    • 4.1.1
    • 4.1.2
    • 5.0.0
    • 5.0.1
    • 5.1.0
    • 5.1.1
    • 5.1.2
    • 5.2.0
    • 5.2.0.post1
    • 5.3.0
    • 5.4.0
    • 5.4.1
    • 5.4.2
    • 5.4.2.post1
    • 5.4.3
    • 5.4.4
    • 5.4.5
    • 5.4.6
    • 5.5.0
    • 5.5.1
    • 5.6.0
    • 5.6.1
    • 5.6.2
    • 5.6.3
    • 5.6.4
    • 5.6.5
    • 5.7.0
    • 5.7.1
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 3.0.0, < 5.8.0

    Обновитесь до 5.8.0

  • cbor2 Ubuntu:22.04:LTS

    Версии
    • 5.2.0-4
    • 5.2.0-4build1
    • 5.4.2-1
    • 5.4.2-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • cbor2 Ubuntu:24.04:LTS

    Версии
    • 5.4.6-2
    • 5.4.6-2build1
    • 5.5.1-1
    • 5.6.0-1
    • 5.6.1-1
    • 5.6.2-1
    • 5.6.2-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • cbor2 Ubuntu:25.10

    Версии
    • 5.6.5-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • cbor2 Ubuntu:26.10

    Версии
    • 5.8.0-2ubuntu1
    • 6.1.2-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • cbor2 Ubuntu:26.04:LTS

    Версии
    • 5.6.5-1build1
    • 5.7.0-1
    • 5.7.1-1
    • 5.8.0-1
    • 5.8.0-2ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →