Python 被发现存在 IP 地址验证漏洞-低调大师

Python 被发现存在 IP 地址验证漏洞

2021-05-02 627

Python 标准库 ipaddress 被发现存在严重的 IP 地址验证漏洞，与今年早些时候 "netmask" 库中报告的漏洞相同。

本周，发现 netmask 关键漏洞的研究人员也在 ipaddress 模块中发现了同样的漏洞，并获得了一个新的漏洞标识符：CVE-2021-29921。该漏洞于 Python 3.3 版本中随 ipaddress 标准库引入。Python 的 ipaddress 模块主要提供创建 IP 地址、网络和接口的功能，并可以对以不同格式输入的 IP 地址进行解析。

众所周知，IPv4 地址可以用多种格式表示，包括十进制、整数、八进制和十六进制，但最常见的格式是十进制，例如 localhost 127.0.0.1。但如果在它前面加上一个 0，浏览器会将整个字符串视为八进制格式的 IP 地址。比如在 Chrome 的地址栏中输入 0127.0.0.1，IP 实际上变成了十进制的87.0.0.1，这也是大多数应用程序应该处理这种模糊的 IP 地址的方式。

值得注意的是，127.0.0.1 并不是一个公共的 IP 地址，这种模糊的表述将它变成了一个公共的 IP 地址。根据 IETF 的原始规范，对于模糊的 IP 地址，如果前缀为 "0"，IPv4 地址的部分内容可以用八进制解释。但是，在 Python 标准库 ipaddress 的情况下，任何前缀零都会被简单地丢弃，即 '010.8.8.8' 会被当作 '10.8.8.8'，而不是 '8.8.8.8'。

由于 ipaddress 输入验证不当，攻击者能够对许多依赖 ipaddress 的程序进行服务器端请求伪造（SSRF）、远程文件包含（RFI）和本地文件包含（LFI）攻击，例如，如果反 SSRF 绕过的封锁名单一直依赖 ipaddress 来解析 IP 列表，那么这种模糊的 IP 就很容易被塞进去。不过，尽管 ipaddress 模块是在 Python 3.3 中引入的，但据研究人员说，这个漏洞从 Python 3.8.0 到 3.10 版本时才出现，因为此前有一些检查，完全拒绝以混合格式（即八进制和十进制）提供的 IP 地址。

目前，Python 的维护者们正在讨论解决方案，但具体细节以及何时修复仍未明确。关于该漏洞的更多细节，可以在研究人员的博文中查阅。

微信关注我们

原文链接：https://www.oschina.net/news/139903

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

BeeCP-3.1.9 发布，高性能 JDBC池

小蜜蜂连接池：一款轻量级JDBC连接池。 1：版本下载(java7) <dependency> <groupId>com.github.chris2018998</groupId> <artifactId>beecp</artifactId> <version>3.1.9</version> </dependency> 2：更新内容调整配置项名 ‘ connectionTestSQL’ 为‘ connectionTestSql’ 增强连接检查时事务处理在池化对象上增加onBeforeRemove方法 5：Springboot启动器同步更新 <dependency> <groupId>com.github.chris2018998</groupId> <artifactId>beecp-spring-boot-starter</artifactId> <version>1.5.5</vers...

2021-05-02

562

Blanket 是一个令人印象深刻的环境噪音播放器，它具有不同的声音，可以帮助你入睡或只是通过帮助你忘记周围的干扰来重获注意力。它包括自然界的声音，像雨声、海浪声、鸟鸣声、风暴声、风声、水流声、夏夜声。此外，如果你是一个通勤者或在轻微繁忙的环境中感到舒适的人，你可以找到火车、船、城市、咖啡馆或壁炉的声音。如果你喜欢白噪声或粉红噪声，它结合了人类能听到的所有声音频率，在这里也可以找到。

2021-05-02

746

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。