aws / aws/amazon-s3-encryption-client-python

Remove upper bounds on cryptography dependency

Aperta Adatta ai principianti
#205 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub
Lingua principale
Python
Stelle
2
Fork
4
Metriche di merge delle PR
Nessuna PR unita negli ultimi 30g

Descrizione

Currently pyproject.toml has an upper bound on cryptography: https://github.com/aws/amazon-s3-encryption-client-python/blob/b067ea4b987181d907b675dac0cc99f69697dce4/pyproject.toml#L13

At the moment this is resulting in an older version being installed that has open CVEs assigned against it, as the package mostly uses major versions for new releases:

```
┌──────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Status │ Installed Version │ Fixed Version │ Title │
├──────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────┤
│ cryptography │ CVE-2026-69247 │ HIGH │ fixed │ 48.0.1 │ 50.0.0 │ python-cryptography: python-cryptography: PKCS#7 │
│ │ │ │ │ │ │ EnvelopedData decryption exposes a Bleichenbacher oracle │
│ │ │ │ │ │ │ through distinguishable errors... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69247 │
│ ├────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────┤
│ │ CVE-2026-69249 │ │ │ │ 49.0.0 │ python-cryptography: python-cryptography: Duplicate │
│ │ │ │ │ │ │ self-signed intermediates can cause exponential │
│ │ │ │ │ │ │ path-building │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69249 │
│ ├────────────────┼──────────┤ │ │ ├──────────────────────────────────────────────────────────┤
│ │ CVE-2026-69248 │ MEDIUM │ │ │ │ python-cryptography: python-cryptography: │
│ │ │ │ │ │ │ python-cryptography verifier accepts wildcard DNS names │
│ │ │ │ │ │ │ allowing escape from permittedSubtrees... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69248 │
└──────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────┘
```

These days we can override this with uv, but unless there's a technical need due to incompatibility - it would be appreciated if the upper bound is removed.

Guida per i contributori

Apri la guida per i contributori

Direzione di ricerca

Inizia dalla dichiarazione della dipendenza cryptography in pyproject.toml alla riga 13 e verifica come uv la risolve. Rimuovi il limite superiore, quindi verifica che la risoluzione delle dipendenze possa selezionare una versione uguale o superiore alle versioni corrette indicate, invece della versione vulnerabile 48.0.1.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Valutazione

Stack tecnologico
python
Ambito
security
Tipo di issue
Bug
Difficoltà
1/5
Tempo stimato
Meno di un'ora
Stato di attività
Attiva
Chiarezza
Specificata chiaramente
Idoneità per principianti
85/100

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.