CVE-2026-19553

Resumo

ssl.SSLContext.wrap_bio() não exigia que o argumento server_hostname não fosse None se ssl.SSLContext.check_hostname estivesse definido. Devido a uma verificação de parâmetro ausente no SSLObject, se o argumento server_hostname não for fornecido, a verificação do nome do host seria silenciosamente ignorada. Este defeito poderia levar a programas onde a verificação do nome do host do certificado *parecia* estar a ter sucesso com SSLContext.check_hostname = True e nenhum ValueError sendo levantado devido a má configuração. Se o programa passar um valor server_hostname que não seja uma string vazia ou None para qualquer uma destas APIs, então a verificação do nome do host do certificado prossegue como esperado e o programa não é afetado por esta vulnerabilidade. Mitigar esta vulnerabilidade não requer atualizar o Python ou aplicar o patch. Para mitigar, passe um valor server_hostname válido, não-None e não-vazio para SSLContext.wrap_bio(), asyncio.create_connection(), ou asyncio.loop.start_tls() e a verificação do nome do host do certificado prosseguirá como esperado. Atualizar para a versão mais recente do Python ou aplicar o patch apenas altera o comportamento de ignorar silenciosamente a verificação do nome do host para levantar um ValueError, semelhante a SSLContext.wrap_socket(), quando server_hostname não é fornecido.

Fontes

• cve-2026-19553-wrap-bioPoC

  Laboratório de prova de conceito que reproduz o CVE-2026-19553, onde o CPython ssl.SSLContext.wrap_bio() ignora silenciosamente a verificação do nome do host TLS quando server_hostname é None.