CVE-2026-34073: DNS Validation en cryptography para Python

Esta vulnerabilidad permite a un atacante interceptar y manipular el tráfico de red al presentar un certificado válido, pero que no cumple con las restricciones de subárbol definidas en la cadena de certificados. Un atacante podría, por ejemplo, presentar un certificado comodín (*.example.com) para validar contra un servidor bar.example.com, incluso si el certificado raíz de la cadena de confianza excluye explícitamente bar.example.com. Esto facilita la realización de ataques MitM, permitiendo al atacante leer, modificar o incluso suprimir datos en tránsito. El riesgo se agrava en entornos donde se utilizan certificados comodín para simplificar la gestión, pero donde la seguridad requiere un control más granular de los nombres de dominio permitidos.

Applications and systems relying on the cryptography library for secure communication, particularly those using wildcard certificates or relying on Name Constraints for enhanced security, are at risk. This includes web applications, APIs, and any system performing TLS/SSL connections where certificate validation is a critical security control.

• python / library:

import cryptography
print(cryptography.__version__)

• python / library: Check for versions <= 46.0.5 using pip:

pip show cryptography

• generic web: Inspect TLS handshake logs for unusual certificate validation patterns or connections to unexpected domains.

1. 2026-03-27Disclosure

   disclosure

1. Reservado2026-03-25
2. Publicada2026-03-27
3. Modificada2026-04-06
4. EPSS actualizado2026-04-07

La mitigación principal es actualizar la biblioteca cryptography a la versión 46.0.6 o superior. Si la actualización no es inmediatamente posible, se recomienda revisar la configuración de los certificados utilizados y asegurarse de que las restricciones de subárbol se apliquen correctamente. Aunque no es una solución completa, se puede considerar el uso de un proxy o WAF para inspeccionar los certificados presentados y bloquear aquellos que no cumplan con las políticas de seguridad. Verifique después de la actualización que la validación de nombres DNS se realiza correctamente, utilizando herramientas de análisis de certificados para confirmar que las restricciones de subárbol se aplican como se espera.