aws / aws/amazon-s3-encryption-client-python
Remove upper bounds on cryptography dependency
- Ngôn ngữ chính
- Python
- Star
- 2
- Fork
- 4
- Chỉ số merge pull request
- Không có pull request nào được merge trong 30 ngày
Mô tả
Currently pyproject.toml has an upper bound on cryptography: https://github.com/aws/amazon-s3-encryption-client-python/blob/b067ea4b987181d907b675dac0cc99f69697dce4/pyproject.toml#L13
At the moment this is resulting in an older version being installed that has open CVEs assigned against it, as the package mostly uses major versions for new releases:
```
┌──────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Status │ Installed Version │ Fixed Version │ Title │
├──────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────┤
│ cryptography │ CVE-2026-69247 │ HIGH │ fixed │ 48.0.1 │ 50.0.0 │ python-cryptography: python-cryptography: PKCS#7 │
│ │ │ │ │ │ │ EnvelopedData decryption exposes a Bleichenbacher oracle │
│ │ │ │ │ │ │ through distinguishable errors... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69247 │
│ ├────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────┤
│ │ CVE-2026-69249 │ │ │ │ 49.0.0 │ python-cryptography: python-cryptography: Duplicate │
│ │ │ │ │ │ │ self-signed intermediates can cause exponential │
│ │ │ │ │ │ │ path-building │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69249 │
│ ├────────────────┼──────────┤ │ │ ├──────────────────────────────────────────────────────────┤
│ │ CVE-2026-69248 │ MEDIUM │ │ │ │ python-cryptography: python-cryptography: │
│ │ │ │ │ │ │ python-cryptography verifier accepts wildcard DNS names │
│ │ │ │ │ │ │ allowing escape from permittedSubtrees... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-69248 │
└──────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────┘
```
These days we can override this with uv, but unless there's a technical need due to incompatibility - it would be appreciated if the upper bound is removed.
Hướng dẫn đóng góp
Hướng nghiên cứu
Bắt đầu với khai báo dependency cryptography trong pyproject.toml ở dòng 13 và kiểm tra cách uv phân giải dependency đó. Xóa giới hạn trên, sau đó xác minh rằng việc phân giải dependency có thể chọn một phiên bản bằng hoặc cao hơn các phiên bản đã được chỉ định là đã khắc phục, thay vì bản phát hành 48.0.1 dễ bị tổn thương.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Đánh giá
- Công nghệ
- python
- Lĩnh vực
- security
- Loại issue
- Lỗi
- Độ khó
- 1/5
- Thời gian dự kiến
- Dưới một giờ
- Mức độ hoạt động
- Sôi nổi
- Độ rõ ràng
- Đặc tả rõ ràng
- Mức phù hợp với người mới
- 85/100