CVE-2026-19553

Zusammenfassung

ssl.SSLContext.wrap_bio() erforderte nicht, dass das Argument server_hostname nicht None ist, wenn ssl.SSLContext.check_hostname gesetzt war. Aufgrund einer fehlenden Parameterprüfung in SSLObject würde die Hostnamen-Überprüfung stillschweigend übersprungen, wenn das Argument server_hostname nicht angegeben wird. Dieser Defekt könnte dazu führen, dass in Programmen die Zertifikats-Hostnamen-Überprüfung *erfolgreich* zu sein schien, obwohl SSLContext.check_hostname = True gesetzt war und aufgrund einer Fehlkonfiguration kein ValueError ausgelöst wurde. Wenn das Programm einen server_hostname-Wert, der keine leere Zeichenkette oder None ist, an eine dieser APIs übergibt, verläuft die Zertifikats-Hostnamen-Überprüfung wie erwartet und das Programm ist von dieser Schwachstelle nicht betroffen. Die Abschwächung dieser Schwachstelle erfordert weder eine Aktualisierung von Python noch das Anwenden des Patches. Zur Abschwächung übergeben Sie einen gültigen, nicht-None- und nicht-leeren server_hostname-Wert an SSLContext.wrap_bio(), asyncio.create_connection() oder asyncio.loop.start_tls(), und die Zertifikats-Hostnamen-Überprüfung verläuft wie erwartet. Ein Upgrade auf die neueste Version von Python oder das Anwenden des Patches ändert lediglich das Verhalten vom stillschweigenden Überspringen der Hostnamen-Überprüfung hin zum Auslösen eines ValueError, ähnlich wie bei SSLContext.wrap_socket(), wenn server_hostname nicht angegeben wird.

Quellen

• cve-2026-19553-wrap-bioPoC

  Proof-of-Concept-Lab zur Reproduktion von CVE-2026-19553, bei dem CPython ssl.SSLContext.wrap_bio() die TLS-Hostnamenüberprüfung stillschweigend überspringt, wenn server_hostname None ist.