Skip to content
Hacker Posts

CPython : l'ANSSI relaie deux correctifs (CERTFR-2026-AVI-1379)

L'avis CERTFR-2026-AVI-1379 couvre deux failles CPython : un contournement de tarfile.tar_filter et la révocation de certificats intermédiaires compromis. Pas d'exploitation connue.

Publié le 3 min de lecture
alertepythoncvecpython

L'ANSSI relaie dans l'avis CERTFR-2026-AVI-1379 deux vulnérabilités corrigées dans CPython, l'interpréteur de référence du langage Python. L'impact retenu est un contournement de la politique de sécurité. Aucune exploitation active n'est mentionnée, mais les deux correctifs touchent des composants utilisés partout en production : patchez au prochain cycle, sans attendre.

Les deux failles

Les correctifs ont été publiés par la Python Software Foundation dans ses bulletins de sécurité des 22 et 24 octobre 2026.

  • CVE-2026-114583 — contournement de traversée de répertoire dans tarfile.tar_filter. Des entrées de lien forgées (liens symboliques au nom vide ou ressemblant à un répertoire) peuvent rediriger des membres de l'archive hors du répertoire d'extraction lorsque le filtre filter="tar" est utilisé. Sévérité annoncée moyenne. Le filtre tar a précisément été introduit pour contrer ce type d'abus : la faille rouvre une porte qu'on croyait fermée.
  • CVE-2026-115557 — dans le module ssl, ajout d'une liste de certificats intermédiaires compromis à distruster. Objet du bulletin : « Distrust compromised intermediate certificates in ssl module. »

Qui est concerné

  • tarfile (CVE-2026-114583) : toute application qui extrait des archives .tar non fiables en s'appuyant sur filter="tar" comme garde-fou — pipelines CI/CD, installeurs, services d'import de fichiers. Les archives maîtrisées en interne ne sont pas le vecteur ; le risque vient des .tar d'origine externe.
  • ssl (CVE-2026-115557) : les clients TLS Python qui doivent cesser de faire confiance aux intermédiaires listés. C'est moins une faille de code qu'une mise à jour de confiance — sans elle, une chaîne reposant sur un certificat compromis resterait validée.

Que faire

  1. Mettre à jour CPython vers la dernière version de maintenance de votre branche (voir les bulletins sécurité Python), y compris dans vos images de base et vos environnements virtuels.
  2. Prioriser les services qui extraient des archives tierces : c'est là que tarfile.tar_filter sert de dernière barrière.
  3. Reconstruire les conteneurs embarquant Python plutôt que de patcher à chaud — un python:3.x figé dans une image reste vulnérable tant qu'il n'est pas reconstruit.
  4. Vérifier vos dépendances : les bibliothèques qui empaquettent leur propre runtime Python doivent elles aussi suivre.

Contexte

Deux failles de sévérité moyenne, sans exploitation connue : rien d'urgent au sens d'un zero-day, mais tarfile est un classique des contournements (l'API filter elle-même est née d'une série de CVE de traversée de répertoire sur les extractions d'archives). Le correctif ssl, lui, relève de l'hygiène de la chaîne de confiance TLS plus que du bug applicatif. À traiter comme de la maintenance de sécurité de routine — celle qu'on repousse jusqu'à ce qu'une archive piégée tombe dans le mauvais pipeline.

Articles liés