Python urllib.request “file://” átirányítás sérülékenység

2011. március 25. 10:43

CH azonosító

CH-4603

Angol cím

Python urllib.request "file://" Redirect Security Issue

Felfedezés dátuma

2011.03.24.

Súlyosság

Közepes

Érintett rendszerek

Python
Python Software Foundation

Érintett verziók

Python 3.x

Összefoglaló

A Python olyan sérülékenysége vált ismertté, amelyet a támadók kihasználhatnak bizalmas információk felfedésére vagy szolgáltatás megtagadást (DoS – Denial of Service) előidézésére.

Leírás

A sérülékenységet az urllib.request átirányítás kezelés okozza, amely megengedi a “file://” URL használatát. Ez kihasználható bizalmas információk felfedésére vagy magas erőforrás felhasználás okozására speciálisan kialakított HTTP átirányítás válaszok visszaküldésével az urllib.request modult használó Python alkalmazásnak.

Megoldás

Korlátozza a “file://” URL-eket a tűzfal szűrési képességeinek használatával!

Python urllib.request “file://” átirányítás sérülékenység