aws / aws/amazon-s3-encryption-client-python

Remove upper bounds on cryptography dependency

Ouverte Adaptée aux débutants
#205 0 commentaires 0 réactions 0 personnes assignées Voir sur GitHub
Langage dominant
Python
Étoiles
2
Forks
4
Métriques de merge des PR
Aucune PR mergée en 30 j

Description

Currently pyproject.toml has an upper bound on cryptography: https://github.com/aws/amazon-s3-encryption-client-python/blob/b067ea4b987181d907b675dac0cc99f69697dce4/pyproject.toml#L13

At the moment this is resulting in an older version being installed that has open CVEs assigned against it, as the package mostly uses major versions for new releases:

```
┌──────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Status │ Installed Version │ Fixed Version │ Title │
├──────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────┤
│ cryptography │ CVE-2026-69247 │ HIGH │ fixed │ 48.0.1 │ 50.0.0 │ python-cryptography: python-cryptography: PKCS#7 │
│ │ │ │ │ │ │ EnvelopedData decryption exposes a Bleichenbacher oracle │
│ │ │ │ │ │ │ through distinguishable errors... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69247 │
│ ├────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────┤
│ │ CVE-2026-69249 │ │ │ │ 49.0.0 │ python-cryptography: python-cryptography: Duplicate │
│ │ │ │ │ │ │ self-signed intermediates can cause exponential │
│ │ │ │ │ │ │ path-building │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69249 │
│ ├────────────────┼──────────┤ │ │ ├──────────────────────────────────────────────────────────┤
│ │ CVE-2026-69248 │ MEDIUM │ │ │ │ python-cryptography: python-cryptography: │
│ │ │ │ │ │ │ python-cryptography verifier accepts wildcard DNS names │
│ │ │ │ │ │ │ allowing escape from permittedSubtrees... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69248 │
└──────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────┘
```

These days we can override this with uv, but unless there's a technical need due to incompatibility - it would be appreciated if the upper bound is removed.

Guide de contribution

Ouvrir le guide de contribution

Piste de recherche

Commencez par la déclaration de la dépendance cryptography dans pyproject.toml à la ligne 13 et vérifiez comment uv la résout. Supprimez la limite supérieure, puis vérifiez que la résolution des dépendances peut sélectionner une version au moins égale aux versions corrigées indiquées, plutôt que la version vulnérable 48.0.1.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Évaluation

Stack technique
python
Domaine
security
Type d'issue
Bug
Difficulté
1/5
Temps estimé
Moins d'une heure
Activité
Active
Clarté
Clairement spécifiée
Accessibilité débutants
85/100

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.