Certifi 存在数据真实性验证不充分漏洞

漏洞描述

Certifi 是一个用于验证 TLS 主机身份的同时验证 SSL 证书的可信度的开源代码库。

根据媒体报道：TrustCor 的所有权经营一家生产间谍软件的企业，Certifi 从根存储中删除“TrustCor”中的根证书，并且 TrustCor 正在被 Mozilla 从信任证书库中删除。请阅读相关链接：https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/oxX69KFvsm4/m/yLohoVqtCgAJ

漏洞名称	Certifi 存在数据真实性验证不充分漏洞
漏洞类型	对数据真实性的验证不充分
发现时间	2022-12-08
漏洞影响广度	一般
MPS编号	MPS-2022-1918
CVE编号	CVE-2022-23491
CNVD编号	-

影响范围

certifi@[2017.11.05, 2022.12.07)

修复方案

将组件 certifi 升级至 2022.12.07 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-1918

https://nvd.nist.gov/vuln/detail/CVE-2022-23491

https://github.com/certifi/python-certifi/security/advisories/GHSA-43fp-rhv2-5gv8

https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/oxX69KFvsm4/m/yLohoVqtCgAJ

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc