Python 被发现存在 IP 地址验证漏洞-低调大师

Python 被发现存在 IP 地址验证漏洞

2021-05-02 692

Python 标准库 ipaddress 被发现存在严重的 IP 地址验证漏洞，与今年早些时候 "netmask" 库中报告的漏洞相同。

本周，发现 netmask 关键漏洞的研究人员也在 ipaddress 模块中发现了同样的漏洞，并获得了一个新的漏洞标识符：CVE-2021-29921。该漏洞于 Python 3.3 版本中随 ipaddress 标准库引入。Python 的 ipaddress 模块主要提供创建 IP 地址、网络和接口的功能，并可以对以不同格式输入的 IP 地址进行解析。

众所周知，IPv4 地址可以用多种格式表示，包括十进制、整数、八进制和十六进制，但最常见的格式是十进制，例如 localhost 127.0.0.1。但如果在它前面加上一个 0，浏览器会将整个字符串视为八进制格式的 IP 地址。比如在 Chrome 的地址栏中输入 0127.0.0.1，IP 实际上变成了十进制的87.0.0.1，这也是大多数应用程序应该处理这种模糊的 IP 地址的方式。

值得注意的是，127.0.0.1 并不是一个公共的 IP 地址，这种模糊的表述将它变成了一个公共的 IP 地址。根据 IETF 的原始规范，对于模糊的 IP 地址，如果前缀为 "0"，IPv4 地址的部分内容可以用八进制解释。但是，在 Python 标准库 ipaddress 的情况下，任何前缀零都会被简单地丢弃，即 '010.8.8.8' 会被当作 '10.8.8.8'，而不是 '8.8.8.8'。

由于 ipaddress 输入验证不当，攻击者能够对许多依赖 ipaddress 的程序进行服务器端请求伪造（SSRF）、远程文件包含（RFI）和本地文件包含（LFI）攻击，例如，如果反 SSRF 绕过的封锁名单一直依赖 ipaddress 来解析 IP 列表，那么这种模糊的 IP 就很容易被塞进去。不过，尽管 ipaddress 模块是在 Python 3.3 中引入的，但据研究人员说，这个漏洞从 Python 3.8.0 到 3.10 版本时才出现，因为此前有一些检查，完全拒绝以混合格式（即八进制和十进制）提供的 IP 地址。

目前，Python 的维护者们正在讨论解决方案，但具体细节以及何时修复仍未明确。关于该漏洞的更多细节，可以在研究人员的博文中查阅。

微信关注我们

原文链接：https://www.oschina.net/news/139903

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

BeeCP-3.1.9 发布，高性能 JDBC池

小蜜蜂连接池：一款轻量级JDBC连接池。 1：版本下载(java7) <dependency> <groupId>com.github.chris2018998</groupId> <artifactId>beecp</artifactId> <version>3.1.9</version> </dependency> 2：更新内容调整配置项名 ‘ connectionTestSQL’ 为‘ connectionTestSql’ 增强连接检查时事务处理在池化对象上增加onBeforeRemove方法 5：Springboot启动器同步更新 <dependency> <groupId>com.github.chris2018998</groupId> <artifactId>beecp-spring-boot-starter</artifactId> <version>1.5.5</vers...

2021-05-02

603

Blanket 是一个令人印象深刻的环境噪音播放器，它具有不同的声音，可以帮助你入睡或只是通过帮助你忘记周围的干扰来重获注意力。它包括自然界的声音，像雨声、海浪声、鸟鸣声、风暴声、风声、水流声、夏夜声。此外，如果你是一个通勤者或在轻微繁忙的环境中感到舒适的人，你可以找到火车、船、城市、咖啡馆或壁炉的声音。如果你喜欢白噪声或粉红噪声，它结合了人类能听到的所有声音频率，在这里也可以找到。

2021-05-02

807

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。