Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en CPython (CVE-2024-3220)

Gravedad CVSS v4.0:
BAJA
Tipo:
CWE-426 Ruta de búsqueda no confiable
Fecha de publicación:
14/02/2025
Última modificación:
14/02/2025

Descripción

Hay un defecto en el módulo de la librería estándar CPython “mimetypes” donde en Windows la lista predeterminada de ubicaciones de archivos conocidas son editables, lo que significa que otros usuarios pueden crear archivos no válidos para provocar que se genere MemoryError al iniciar el entorno de ejecución de Python o que las extensiones de archivo se interpreten como el tipo de archivo incorrecto. Este defecto es causado por las ubicaciones predeterminadas de las plataformas Linux y macOS (como “/etc/mime.types”) que también se usan en Windows, donde son ubicaciones editables por el usuario (“C:\etc\mime.types”). Para solucionar este problema, un usuario puede llamar a mimetypes.init() con una lista vacía (“[]”) en las plataformas Windows para evitar usar la lista predeterminada de ubicaciones de archivos conocidas.