PT-2025-6639 · Python · Cpython

Seth Larson · Publicado 2025-02-14 · Atualizado 2025-02-19 · CVE-2024-3220

Positive Technologies (AI Summary) · Pt

CVSS v4.0

2.3

Baixa

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do CPython até a 3.13.x

Descrição A questão surge porque o módulo "mimetypes" da biblioteca padrão do CPython utiliza locais padrão das plataformas Linux e macOS no Windows, onde esses locais permitem gravação pelo usuário. Isso permite que outros usuários criem arquivos inválidos, potencialmente causando um MemoryError quando o tempo de execução do Python é iniciado ou levando a interpretações incorretas de tipos de arquivo.

Recomendações Para contornar este problema, chame mimetypes.init() com uma lista vazia ([]) em plataformas Windows para evitar o uso da lista padrão de locais de arquivos conhecidos.

Correção

Untrusted Search Path

Enumeração de Fraquezas

CWE-426

Identificadores relacionados

BIT-PYTHON-2024-3220

BIT-PYTHON-MIN-2024-3220

CVE-2024-3220

ECHO-6E9C-8674-8943

PSF-2025-2

Produtos afetados

Cpython

Referências · 15

• https://security.netapp.com/advisory/ntap-20250314-0001 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-3220 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-3220 · Aviso do Fabricante
• https://mail.python.org/archives/list/[e-mail]/thread/CDXW34ND2LSAOYAR5N6UNONP4ZBX4D6R · Aviso do Fabricante
• https://twitter.com/WolfgangSesin/status/1890457418322092341 · Publicação no Twitter
• https://twitter.com/oss_security/status/1890588560769618206 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1890568929250017402 · Publicação no Twitter
• https://osv.dev/vulnerability/PSF-2025-2 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-python-2024-3220 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-python-min-2024-3220 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2024-3220 · Nota de Segurança
• https://twitter.com/CVEnew/status/1890439798076088791 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2025/02/14/8 · Nota
• https://t.me/cvedetector/18133 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-3220 · Nota de Segurança