PT-2022-16025 · Certifi+4 · Certifi+4

Publicado 2022-12-05 · Atualizado 2026-06-03 · CVE-2022-23491

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Certifi anteriores a 07/12/2022

Descrição

O problema está relacionado à presença dos certificados raiz da TrustCor na lista de certificados raiz, que foram removidos devido ao envolvimento da TrustCor na produção de spyware. Essa remoção faz parte de uma investigação motivada por reportagens da mídia. A exploração desse problema pode permitir que um invasor comprometa quaisquer verificações baseadas em assinaturas digitais.

Recomendações

Para versões do Certifi anteriores a 07/12/2022, desative as assinaturas de certificados raiz da TrustCor incluídas no pacote, geradas após quarta-feira, 30 de novembro de 2022.

Exploit

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

ALT-PU-2023-8446

ALT-PU-2024-17878

CVE-2022-23491

ECHO-2096-02CB-109F

GHSA-43FP-RHV2-5GV8

MGASA-2023-0140

OESA-2023-1457

OPENSUSE-SU-2023_0119-1

OPENSUSE-SU-2023_0139-1

OPENSUSE-SU-2024:13237-1

PYSEC-2022-42986

RHSA-2025:9775

SUSE-SU-2023:0118-1

SUSE-SU-2023:0119-1

SUSE-SU-2023:0130-1

SUSE-SU-2023:0139-1

SUSE-SU-2023_0118-1

SUSE-SU-2023_0119-1

SUSE-SU-2023_0130-1

SUSE-SU-2023_0139-1

USN-5761-1

USN-5761-2

Produtos afetados

Alt Linux

Certifi

Debian

Red Os

Suse

Referências · 50

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23491.json · Exploit
• https://github.com/certifi/python-certifi/security/advisories/GHSA-43fp-rhv2-5gv8 · Nota
• https://github.com/certifi/python-certifi · Nota
• https://github.com/certifi/python-certifi/commit/9e9e840925d7b8e76c76fdac1fab7e6e88c1c3b8 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/certifi/PYSEC-2022-42986.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2022-42986 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2024:13237-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-23491 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-5761-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-5761-2 · Aviso do Fabricante
• https://launchpad.net/bugs/1998785 · Nota
• https://suse.com/support/update/announcement/2023/suse-su-20230130-1 · Nota
• https://bugzilla.suse.com/1206212 · Nota
• https://suse.com/support/update/announcement/2023/suse-su-20230119-1 · Nota
• https://safe-surf.ru/specialists/bulletins-nkcki/689938 · Nota de Segurança