PT-2022-7152 · Python Packaging Authority+9 · Wheel+9

CVE-2022-40898 · Publicado 2022-11-16 · Atualizado 2025-12-05

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Python Packaging Authority (PyPA) Wheel, versões 0.37.1 e anteriores

Descrição

O problema está relacionado a um consumo descontrolado de recursos no Python Packaging Authority (PyPA) Wheel, o que pode ser explorado por um invasor remoto para causar uma negação de serviço. Isso é feito por meio de uma entrada controlada pelo invasor na CLI wheel, especificamente por meio de uma expressão regular vulnerável usada para verificar a validade dos nomes dos arquivos Wheel.

Recomendações

Para as versões 0.37.1 e anteriores, atualize para a versão 0.38.1 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso à CLI wheel para minimizar o risco de exploração.

Exploit

Correção

DoS

RCE

Resource Exhaustion

Enumeração de Fraquezas

CWE-20

CWE-400

CWE-1333

Identificadores relacionados

ALSA-2023:6712

ALT-PU-2022-3086

AZL-12098

BDU:2023-08101

CVE-2022-40898

GHSA-QWMP-2CF2-G9G6

INFSA-2023_6712

MGASA-2023-0218

OESA-2023-1904

OPENSUSE-SU-2023_0088-1

OPENSUSE-SU-2024:12645-1

OPENSUSE-SU-2024:13214-1

PYSEC-2022-43017

RHSA-2023:6712

RHSA-2023:6793

RHSA-2023_6712

RHSA-2024:10761

RHSA-2024_10761

SUSE-SU-2023:0088-1

SUSE-SU-2023:0088-2

SUSE-SU-2023:0089-1

SUSE-SU-2023_0088-1

SUSE-SU-2023_0088-2

SUSE-SU-2023_0089-1

USN-5821-1

USN-5821-2

USN-5821-3

USN-5821-4

Produtos afetados

Alt Linux

Almalinux

Debian

Linuxmint

Red Hat

Red Os

Rocky Linux

Suse

Ubuntu

Wheel

Referências · 59

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/40xxx/CVE-2022-40898.json · Exploit
• 🔥 https://pyup.io/posts/pyup-discovers-redos-vulnerabilities-in-top-python-packages · Exploit
• https://github.com/pypa/wheel · Nota
• https://github.com/pypa/wheel/blob/main/src/wheel/wheelfile.py#L18 · Nota
• https://github.com/pypa/wheel/commit/88f02bc335d5404991e532e7f3b0fc80437bf4e0 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/wheel/PYSEC-2022-43017.yaml · Nota
• https://advisories.mageia.org/MGASA-2023-0218.html · Nota de Segurança
• https://bugs.mageia.org/show_bug.cgi?id=31420 · Nota
• https://bdu.fstec.ru/vul/2023-08101 · Nota de Segurança
• https://access.redhat.com/errata/RHSA-2023:6712 · Nota
• https://t.me/cvenotify/40474 · Publicação no Telegram
• https://ubuntu.com/security/notices/USN-5821-4 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-5821-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/OESA-2023-1904 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-40898 · Nota de Segurança