#BSI WID-SEC-2025-1217: [NEU] [mittel] #Red #Hat #Enterprise #Linux #pymongo: Schwachstelle ermöglicht Denial of Service und Offenlegung

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Red Hat Enterprise Linux ausnutzen, um einen Denial of Service Angriff durchzuführen oder Informationen offenzulegen.

https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2025-1217

A small PSA, mainly for myself - #pymongo surprised me today by adding a key to the input dictionary I supplied the insert_one method: https://kimvanwyk.co.za/til_250420_1/

How do you think, what's worse?

1. Spending hours splitting anew tests of damn #PyMongo, or
2. Dealing with yet another multipart python-multipart conflict?

Let me explain.

#MongoDB is a shitty database that upon processing too many requests, ends up opening too many files and totally crashing on my system. So in order to be able to test PyMongo at all, I need to manually split the test suite into 5 shards, and restart the database between them. I suppose it's a great product to use on production.

As for `multipart` and `python-multipart`, these are two different #Python packages installing `multipart` module. So technically speaking, only one of the two can be installed. Except that some packages want to depend on one, while others want to depend on another. And it somehow always happens that package A depends on one, and package B depends on the other and on A simultaneously.

Then I have to explain to people that this can't work, and they always have very important argument to use the other package instead, and one of them should be renamed, and it would be best if I solved it all, and changed the world to their liking.

Or to put it otherwise, sounds like #Synapse is going out of #Gentoo. And Python truly provides one of the most shitty ecosystems you could have.

Jak myślicie, co jest gorsze?

1. Spędzanie godzin na rozdzielaniu na nowo testów cholernego #PyMongo, czy
2. Użeranie się z kolejnym konfliktem na linii multipart python-multipart?

Spieszę wyjaśnić.

#MongoDB to taka gówniana baza danych, która po przetworzeniu zbyt dużej liczby żądań otwiera zbyt wiele plików, i totalnie się wykrzacza na moim systemie. Tak więc, żeby dało się testować PyMongo, muszę testy dzielić na 5 części, i pomiędzy każdą restartować bazę danych. Wspaniały produkt na produkcję.

A `multipart` i `python-multipart` to dwie różne paczki, które instalują moduł `multipart`. Co za tym idzie, tylko jedną z dwóch można zainstalować. Problem w tym, że jedne paczki chcą używać tego pierwszego, a inne drugiego. I zawsze jakoś tak wychodzi, że paczka A używa jednego, a paczka B używa paczki A i drugiego.

I potem muszę tłumaczyć ludziom, że przez to wszystko się sypie, a oni oczywiście zawsze mają doskonały argument, że to jednak tej drugiej się powinno używać, i w ogóle pierwsza powinna zmienić nazwę, i najlepiej jakbym ja sam to wszystko rozwiązał, i cały świat dostosował do widzimisię rzeczonej osoby.

Albo inaczej mówiąc, wszystko wskazuje na to, że #Synapse wyleci z #Gentoo. A #Python to jeden z najbardziej gównianych ekosystemów, z jakimi można pracować.

Attention pyparsing users: I just pushed release 3.2.0b1 which mostly just drops support for Python 3.6-3.8, but also changes some exception messages. Please give this release a try before I push the final release in early October.

Also includes:
- some nice enhancements to mongodb_query_expression.py
- a parser for the Lox language defined in Robert Nystrom's "Crafting Interpreters"

Full release notes here: https://github.com/pyparsing/pyparsing/releases/tag/3.2.0b1

Podejrzewam, że są ludzie, którzy cenią sobie #MongoDB. Tak więc tylko sobie tutaj wrzucę, jak w #Gentoo, musiałem podzielić testy #PyMongo na 3 części, i restartować serwer pomiędzy nimi, bo inaczej się wywala po przetworzeniu zbyt wielkiej liczby żądań.

https://gitweb.gentoo.org/repo/gentoo.git/commit/dev-python/pymongo/pymongo-4.8.0.ebuild?id=4c5700f9274f2640958360c7b1628a7717becf6e
https://bugs.gentoo.org/934389

I suspect some people may think that using #MongoDB is good idea. So I'll just drop here, how in #Gentoo we need to split the test suite of #PyMongo into 3 batches, and restart the server between them, because otherwise it crashes after performing too many queries. But I'm sure it's a great software in production.

https://gitweb.gentoo.org/repo/gentoo.git/commit/dev-python/pymongo/pymongo-4.8.0.ebuild?id=4c5700f9274f2640958360c7b1628a7717becf6e
https://bugs.gentoo.org/934389