「Python」のURL解析に脆弱性 - ブロックリスト回避のおそれ

「Python」においてURLの解析に広く利用される標準ライブラリ「urllib.parse」の既知の脆弱性について注意が呼びかけられている。

空白文字で始まるURLにおいてブロックリストメソッドを回避できる脆弱性「CVE-2023-24329」について、CERT/CCが注意を呼びかけたもの。ホスト名、スキームの双方において影響を受ける。

ブラックリストにあるドメインやプロトコルのフィルタリングをバイパスし、本来アクセスが制限されるべきサイトへのアクセスやプロトコルを指定した制限などを回避することが可能。任意のファイルの読み取り、任意のコマンドの実行、サーバサイドリクエストフォージェリ（SSRF）などにつながるおそれもある。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」、重要度は4段階中2番目にあたる「高（High）」とレーティングされている。

同脆弱性は、6月にリリースされた「Python 3.11.4」「同3.10.12」「同3.9.17」「同3.8.17」「同3.7.17」にて修正された。また10月に正式版の公開が予定されている「同3.12」においても修正が反映される予定。

（Security NEXT - 2023/08/17 ）ツイート