Erscheinungsdatum: 3. Juni 2025

Dies ist eine Sicherheitsveröffentlichung von Python 3.9

Hinweis: Die hier angezeigte Version ist Python 3.9.23, eine Sicherheits-Bugfix-Version für die ältere 3.9-Serie. Python 3.13 ist nun die neueste Feature-Release-Serie von Python 3. Holen Sie sich hier die neueste Version von 3.13.x.

Sicherheitsinhalte dieser Veröffentlichung

• gh-135034: [CVE 2024-12718] [CVE 2025-4138] [CVE 2025-4330] [CVE 2025-4435] [CVE 2025-4517] Behebt mehrere Probleme, die es ermöglichten, dass Tarfile-Extraktionsfilter (filter="data" und filter="tar") durch manipulierte Symlinks und Hardlinks umgangen werden konnten.
• gh-133767: Behebt Use-after-free im "unicode-escape"-Decoder mit einem nicht-"strict"-Fehlerhandler.
• gh-128840: Kurze Schließung der Verarbeitung langer IPv6-Adressen frühzeitig in ipaddress, um übermäßigen Speicherverbrauch und einen geringfügigen Denial-of-Service zu verhindern.
• gh-80222: Das Umklappen von Anführungszeichen im display_name verstößt gegen RFC.

Keine Installer

Gemäß dem Release-Kalender, der in PEP 596 festgelegt ist, befindet sich Python 3.9 nun in der Phase "nur Sicherheitsfixes" seines Lebenszyklus: Der 3.9-Zweig akzeptiert nur noch Sicherheitsfixes, und deren Veröffentlichungen erfolgen unregelmäßig in reiner Quellform bis Oktober 2025. Python 3.9 erhält keine regulären Fehlerbehebungen mehr, und binäre Installer werden dafür nicht mehr bereitgestellt. Python 3.9.13 war die letzte vollständige Bugfix-Veröffentlichung von Python 3.9 mit binären Installern.

Vollständiges Changelog