Python · Python · CVE-2022-48566
**Nome do software vulnerável e versões afetadas**
Versões do Python até a 3.9.1
Versão 3.12.0b1 do Python
**Descrição**
O problema está relacionado à função `hmac.compare digest` no módulo `Lib/hmac.py`, onde eram possíveis otimizações que burlavam o tempo constante na variável acumuladora. Isso poderia permitir que um invasor remoto elevasse seus privilégios devido a uma condição de corrida. Além disso, foi descoberta uma vulnerabilidade de Entidade Externa XML (XXE), que foi mitigada pelo módulo plistlib, que passou a não aceitar declarações de entidade em arquivos XML plist. Há também uma vulnerabilidade no componente asyncio. swap current task() que permite que um invasor obtenha informações confidenciais.
**Recomendações**
Para versões do Python até a 3.9.1, considere atualizar para uma versão em que a função hmac.compare digest tenha sido corrigida para impedir otimizações que contornam o tempo constante.
Para a versão 3.12.0b1 do Python, restrinja o acesso ao componente asyncio. swap current task() para minimizar o risco de exploração.
Como solução temporária, considere desativar o uso de declarações de entidade em arquivos XML plist até que o problema seja resolvido.
Evite usar o módulo plistlib com arquivos XML plist não confiáveis até que o problema de XXE seja totalmente resolvido.