CPython (Lib/html/parser.py - HTMLParser) Le score CVSS v3.1 évalue CVE-2026-15308 à 7.5 (HIGH, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H). Le score opérationnel Hermes s'établit à 84 (HIGH) en raison de l'exposition critique de l'écosystème Python dans les pipelines de données et d'IA.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in CPython Interpreter & Standard Library documented in Hermes dossier.”
Adversaries abuse command and script interpreters (Bash, Python, PowerShell) to execute arbitrary commands.
“Attack execution telemetry aligns with MITRE ATT&CK technique T1059.”
Le composant CPython (Lib/html/parser.py - HTMLParser) intervient au cœur des runtimes applicatifs, des microservices et des chaînes de traitement de données sous Python.
| Paramètre | Spécification technique | Contexte threat intelligence |
|---|---|---|
| Identifiant CVE | CVE-2026-15308 | Bulletin officiel de sécurité amont |
| Produit affecté | python:cpython | Écosystème logiciel Python |
| Composant vulnérable | CPython (Lib/html/parser.py - HTMLParser) | Bibliothèque standard / Outil de packaging |
| Classe de faiblesse | CWE-400: Uncontrolled Resource Consumption | Faiblesse d’exécution / Gestion des ressources |
| Score CVSS v3.1 | 7.5 (HIGH / Score Hermes 84) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| Version corrigée | 3.13.15 | Correctif officiel amont |
| Techniques MITRE ATT&CK | T1499 - Endpoint Denial of Service, T1059.006 - Python | Exécution de code / Déni de service |
| Référence forensique | Analyse de la charge CPU et processus sous Linux | Analyse mémoire et diagnostic des processus |
L’examen du code source incriminé met en évidence la faille logique ou l’absence de vérification d’encadrement :
# Flaw in Lib/html/parser.py (HTMLParser.goahead)def goahead(self, end): rawdata = self.rawdata i = 0 n = len(rawdata) while i < n: if rawdata.startswith("<!", i): # VULNERABILITY: If declaration is unterminated, # parse_html_declaration fails and loop breaks without advancing i! # Next feed() call re-scans the entire buffer from index 0! k = self.parse_html_declaration(i) if k < 0: break # Re-scans all previous bytes on every feed() chunk!Lorsque des entrées non fiables atteignent cette routine, le comportement du programme diverge des invariants de sécurité attendus, provoquant une saturation de ressources ou une manipulation de pointeurs en mémoire.
<!DOCTYPE [ ... sans crochet de fermeture.CPython (Lib/html/parser.py - HTMLParser).Les analystes de sécurité peuvent identifier les tentatives d’exploitation en corrélant les traces applicatives et les alertes du système d’exploitation.
Télémétrie des processus & crashs
Surveillez les journaux applicatifs à la recherche des motifs :
kernel: Process [pid] (python3) excessive CPU runtime in HTMLParser.goahead. Recherchez les pics anormaux de CPU ou les arrêts forcés par manque de mémoire (OOM).
Auditd & surveillance des appels
Déployez des règles d’audit pour tracer les créations de processus enfants ou les écritures anormales. Consultez Analyse de la charge CPU et processus sous Linux.
title: Python Web Scraper CPU Starvation via HTMLParser Unterminated Feed (FR)id: cve-2026-15308status: experimentaldescription: Détecte les anomalies de crash ou d'exécution associées à CVE-2026-15308.logsource: category: process_creation product: linuxdetection: selection: - 'kernel:' - 'cpython' condition: selectionfields: - CommandLine - Userlevel: high# Surveillance par tracepoint eBPF des exécutions sous python:cpythonsudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve /comm == "python3"/ { printf("PID %d a lancé: %s\n", pid, str(args->filename));}'La sécurisation des environnements applicatifs repose sur le déploiement des correctifs et le durcissement du traitement des données :
python:cpython vers la version 3.13.15 ou ultérieure via votre gestionnaire de paquets ou vos fichiers de dépendances (requirements.txt, Pipfile, pyproject.toml).pickle au profit de formats sécurisés tels que JSON ou safetensors.