CVE-2026-19553

Резюме

ssl.SSLContext.wrap_bio() не требовал, чтобы аргумент server_hostname не был None, если был установлен ssl.SSLContext.check_hostname. Из-за отсутствия проверки параметра в SSLObject, если аргумент server_hostname не передан, проверка имени хоста молча пропускалась. Этот дефект мог приводить к тому, что в программах проверка имени хоста сертификата *казалась* успешной при SSLContext.check_hostname = True, и из-за ошибки конфигурации не возникало ValueError. Если программа передаёт значение server_hostname, которое не является пустой строкой или None, в любой из этих API, то проверка имени хоста сертификата выполняется как ожидается, и программа не подвержена этой уязвимости. Для устранения этой уязвимости не требуется обновлять Python или применять патч. Для устранения передайте допустимое значение server_hostname, не равное None и не пустое, в SSLContext.wrap_bio(), asyncio.create_connection() или asyncio.loop.start_tls(), и проверка имени хоста сертификата будет выполняться как ожидается. Обновление до последней версии Python или применение патча лишь меняет поведение с молчаливого пропуска проверки имени хоста на выброс ValueError, аналогично SSLContext.wrap_socket(), когда server_hostname не передан.

Источники

• cve-2026-19553-wrap-bioPoC

  Лаборатория proof-of-concept, воспроизводящая CVE-2026-19553, где CPython ssl.SSLContext.wrap_bio() молча пропускает проверку имени хоста TLS, когда server_hostname равен None.