Welcome To openEuler Community

Hey @zhengzongmin , thanks for your contribution to the community.

Bot Usage Manual

I'm the Bot here serving you. You can find the instructions on how to interact with me at Here . That means you can comment below every pull request or issue to trigger Bot Commands. You can self-configure the PR merge rules for this repository. For more details, please refer to Here.

Contact Guide

If you have any questions, please contact the SIG: Base-service ,
and any of the maintainers: @dillon_chen, @licihua, @overweight, @shenyangyang, @xujing99, @zhujianwei001 ,
and any of the committers: @yangyuan32, @zhuchunyi .

issue处理注意事项:
1. 提交正常修复分支的修复PR时,必须关联当前issue,否则无法关闭当前issue;
2. 模板内容需要填写完整, 无论是受影响或者不受影响都需要填写完整内容;
3. 以下为模板中需要填写完整的内容, 请复制到评论区回复;
注: 内容的关键词(影响性分析说明, openEuler评分, 受影响版本排查(受影响/不受影响), 修复是否涉及abi变化(是/否), 原因说明)不能省略,省略后cve-manager将无法正常解析填写内容.

影响性分析说明:

openEuler评分: (评分和向量)

受影响版本排查(受影响/不受影响):
1.master(3.11.13):
2.openEuler-20.03-LTS-SP4(3.7.9):
3.openEuler-22.03-LTS-SP4(3.9.9):
4.openEuler-24.03-LTS-Next(3.11.6):
5.openEuler-24.03-LTS-SP1(3.11.6):
6.openEuler-24.03-LTS-SP3(3.11.6):
7.openEuler-24.03-LTS-SP4(3.11.6):

修复是否涉及abi变化(是/否)：
1.master(3.11.13):
2.openEuler-20.03-LTS-SP4(3.7.9):
3.openEuler-22.03-LTS-SP4(3.9.9):
4.openEuler-24.03-LTS-Next(3.11.6):
5.openEuler-24.03-LTS-SP1(3.11.6):
6.openEuler-24.03-LTS-SP3(3.11.6):
7.openEuler-24.03-LTS-SP4(3.11.6):

原因说明：
1.master(3.11.13):
2.openEuler-20.03-LTS-SP4(3.7.9):
3.openEuler-22.03-LTS-SP4(3.9.9):
4.openEuler-24.03-LTS-Next(3.11.6):
5.openEuler-24.03-LTS-SP1(3.11.6):
6.openEuler-24.03-LTS-SP3(3.11.6):
7.openEuler-24.03-LTS-SP4(3.11.6):

原因说明填写请参考下方表格(注意：版本是否受影响和版本的原因说明必须对应，例如master版本分支受影响，那原因说明只能是受影响对应的原因之一!)：

issue处理具体操作请参考:
https://atomgit.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
pr关联issue具体操作请参考:
https://docs.atomgit.com/docs/help/home/org_project/pullrequests/pr-related-issue

说明：补丁链接仅供初步排查参考，实际可用性请人工再次确认，补丁下载验证可使用CVE补丁工具。
若补丁不准确，烦请在此issue下评论 '/report-patch 参考网址 补丁链接1,补丁链接2' 反馈正确信息，便于我们不断优化工具，不胜感激。
如 /report-patch https://security-tracker.debian.org/tracker/CVE-2021-3997 https://github.com/systemd/systemd/commit/5b1cf7a9be37e20133c0208005274ce4a5b5c6a1

@zhengzongmin CVE信息从NVD同步成功, 稍后请重新加载页面.

是否需要修复：未知
是否存在适配：否
上游社区补丁：https://github.com/python/cpython/commit/af52b41afa4330fb38583db553631baa2f122f90.patch
https://github.com/python/cpython/commit/e4f63e65a93cf44c14274aa987e644b8c003625e.patch

分支修复情况：
1.master(3.11.13): 分析失败

【任务 #262 · openEuler-24.03-LTS-Next】CVE-2026-115557

1. 是否受影响

结论：受影响。

CVE-2026-115557（ssl 模块缺少被泄露证书拒绝列表）的漏洞代码存在于本分支源码中：Step 4 源码影响性分析确认，ssl 模块当前无任何被泄露 SPKI 拒绝列表、验证回调为 NULL，修复主体位于 Modules/_ssl.c（在 _set_verify_mode 中新增并接入 _cert_has_distrusted_spki()/_ssl_verify_callback()），相关 hunk 上下文与源码逐行匹配（仅行号偏移），且补丁未被预先应用，漏洞确实存在，需要修复。

分支状态：

• openEuler-24.03-LTS-Next（3.11.6）：受影响

2. 是否有修复补丁

有，上游社区补丁：
https://github.com/python/cpython/commit/af52b41afa4330fb38583db553631baa2f122f90.patch

3. 补丁适配情况

• 本次无需额外适配：补丁文件 backport-CVE-2026-115557.patch 应用干净（状态 applied_clean，置信度：高），无冲突项，核心修复逻辑可完整落地；无前置补丁。
• 冲突原因：无。补丁核心/声明 hunk（Modules/_ssl.c 修复主体、新增 Modules/_ssl/distrusted_spki.h 拒绝列表、Makefile.pre.in 依赖行与 PCbuild 声明）上下文与源码逐行匹配，仅存在行号偏移（-1 至 -19 行）。
• 适配内容：无需调整行号、上下文或 API，核心修复逻辑保持保真。
• 落地验证：补丁已干净应用（applied_clean）；rpmbuild -bp 构建验证未通过，详见第 5 部分。

4. 是否提交 PR

尚未提交 PR。

5. 流水线失败原因

失败步骤：Step 5（补丁适配），最后完成的检查点为 Step 3（源码展开）。失败原因：早期 AI 补丁查找因 LLM API 返回 HTTP 403 Forbidden（Consumer is forbidden）中断；后续 rpmbuild -bp 构建验证阶段 Patch#1 连续失败，回退重新适配 3 次仍未通过，超过最大重试次数后流水线终止。

6. 回填字段

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.openEuler-24.03-LTS-Next(3.11.6): 受影响
ABI 变化：N/A
原因说明：
1.正常修复
────────────────────────────────────────

/branches openEuler-22.03-LTS-SP4 openEuler-20.03-LTS-SP4 /patch_url https://github.com/python/cpython/commit/af52b41afa4330fb38583db553631baa2f122f90.patch /name fly_fzc /email 2385803914@qq.com

正在自动化处理任务，任务编号:TASK-gitcode__python3-262-20261029141215-0，指定分支:openEuler-22.03-LTS-SP4，使用指定补丁(1个)

⏳ 进度更新 (15:02): 已运行 50 分钟 | 当前阶段: Step 8/8 生成评论

✅ 任务结束 (用时: 51分钟)

正在自动化处理任务，任务编号:TASK-gitcode__python3-262-20261029141216-1，指定分支:openEuler-20.03-LTS-SP4，使用指定补丁(1个)

⏳ 进度更新 (19:23): 已运行 311 分钟 | 当前阶段: Step 6/8 修改 Spec + rpmbuild 验证

✅ 任务结束 (用时: 312分钟)

【任务 #262 · openEuler-22.03-LTS-SP4】CVE-2026-115557

1. 是否受影响

受影响。该 CVE 为 Python ssl 模块缺少已知被攻陷证书的 denylist（上游通过在 ssl 模块内置黑名单，自动拒绝已知被攻陷的证书，即使未配置证书吊销也能保证安全）。Step 4 源码影响性分析确认漏洞代码存在于本分支源码：漏洞路径函数 _set_verify_mode 位于 Modules/_ssl.c:3075-3076，其补丁前代码（verify_cb 透传逻辑，行 3099-3101）与补丁核心 hunk 的上下文在 3.9.9 中逐字匹配，且全源码无任何既有 denylist，补丁未被应用。

• openEuler-22.03-LTS-SP4（3.9.9）：受影响

2. 是否有修复补丁

有。[原补丁] 上游补丁：https://github.com/python/cpython/commit/af52b41afa4330fb38583db553631baa2f122f90.patch

3. 补丁适配情况

本次未产出适配补丁。Step 4 判定 backport-CVE-2026-115557.patch 为 NEEDS_ADAPTATION（冲突级别 minor）：核心 C 修复（Modules/_ssl.c 两个核心 hunk——安装黑名单校验回调 _ssl_verify_callback/cert_has_distrusted_spki，以及新头文件 Modules/ssl/distrusted_spki.h，含 8 个被攻陷 eMudhra 中间 CA 的 SPKI SHA-256 摘要表）在 3.9.9 中可原样套用，无需逻辑改写；冲突均为测试工具与构建元数据的机械性差异（Makefile.pre.in 无 MODULE*_DEPS 段、Lib/test/certdata/ 目录布局差异致 make_ssl_certs.py/distrusted.zip 路径需调整、test_ssl.py import 上下文与测试插入锚点不匹配）。但 Step 5 AI 适配执行失败，未生成输出补丁，适配补丁被丢弃，未落地验证。

4. 是否提交 PR

未提交 PR。流水线在补丁适配阶段失败，未进入 PR 提交流程。

5. 流水线失败原因

失败步骤：Step 5 补丁适配。git am 应用 backport-CVE-2026-115557.patch 返回码 128（含二进制差异 Lib/test/certdata/distrusted.zip 不被 git apply 支持等多处冲突），转入 AI 适配后仍未找到输出补丁；因 CVE 场景不允许跳过补丁，流水线在该步终止。

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.openEuler-22.03-LTS-SP4(3.9.9): 受影响
ABI 变化：否
原因说明：
1.正常修复
────────────────────────────────────────

是否需要修复：未知
是否存在适配：否
上游社区补丁：https://github.com/python/cpython/commit/af52b41afa4330fb38583db553631baa2f122f90.patch

分支修复情况：
1.openEuler-20.03-LTS-SP4(3.7.9): 分析失败

是否需要修复：未知
是否存在适配：否
上游社区补丁：https://github.com/python/cpython/commit/af52b41afa4330fb38583db553631baa2f122f90.patch

分支修复情况：
1.openEuler-20.03-LTS-SP4(3.7.9): 分析失败

/branches openEuler-20.03-LTS-SP4 /patch_url https://github.com/python/cpython/commit/af52b41afa4330fb38583db553631baa2f122f90.patch /name fly_fzc /email 2385803914@qq.com

正在自动化处理任务，任务编号:TASK-gitcode__python3-262-20261103081648，指定分支:openEuler-20.03-LTS-SP4，使用指定补丁(1个)

⏳ 进度更新 (09:32): 已运行 75 分钟 | 当前阶段: Step 5/8 适配补丁

影响性分析说明:
Python has added a denylist for known compromised certificates to the ssl module to ensure user safety even without certificate revocation configured. Known compromised certificates will automatically be rejected regardless of the SSLContext policy configuration.

openEuler评分: (评分和向量)
Base Score: 9.4 CRITICAL
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

受影响版本排查(受影响/不受影响):
1.master(3.11.13):受影响
2.openEuler-20.03-LTS-SP4(3.7.9):受影响
3.openEuler-22.03-LTS-SP4(3.9.9):受影响
4.openEuler-24.03-LTS-Next(3.11.6):受影响
5.openEuler-24.03-LTS-SP1(3.11.6):受影响
6.openEuler-24.03-LTS-SP3(3.11.6):受影响
7.openEuler-24.03-LTS-SP4(3.11.6):受影响

修复是否涉及abi变化(是/否)：
1.master(3.11.13):否
2.openEuler-20.03-LTS-SP4(3.7.9):否
3.openEuler-22.03-LTS-SP4(3.9.9):否
4.openEuler-24.03-LTS-Next(3.11.6):否
5.openEuler-24.03-LTS-SP1(3.11.6):否
6.openEuler-24.03-LTS-SP3(3.11.6):否
7.openEuler-24.03-LTS-SP4(3.11.6):否

原因说明：
1.master(3.11.13):正常修复
2.openEuler-20.03-LTS-SP4(3.7.9):正常修复
3.openEuler-22.03-LTS-SP4(3.9.9):正常修复
4.openEuler-24.03-LTS-Next(3.11.6):正常修复
5.openEuler-24.03-LTS-SP1(3.11.6):正常修复
6.openEuler-24.03-LTS-SP3(3.11.6):正常修复
7.openEuler-24.03-LTS-SP4(3.11.6):正常修复

@yangyuan32 经过 cve-manager 解析, 已分析的内容如下表所示:

请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.

经过cve-manager解析，部分分支PR未合入，如红色字体所示：

原因说明：
1.master:正常修复(PR未合入)
2.openEuler-20.03-LTS-SP4:正常修复(PR未合入)
3.openEuler-22.03-LTS-SP4:正常修复(PR未合入)
4.openEuler-24.03-LTS-Next:正常修复(PR未合入)
5.openEuler-24.03-LTS-SP1:正常修复(PR未合入)
6.openEuler-24.03-LTS-SP3:正常修复(PR未合入)
7.openEuler-24.03-LTS-SP4:正常修复(PR未合入)

/check-issue

@yangyuan32 经过 cve-manager 解析, 已分析的内容如下表所示:

请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.

经过cve-manager解析，所有PR均已合入

经过cve-manager解析，所有PR均已合入