「Python」のURL解析に脆弱性 - ブロックリスト回避のおそれ

「Python」においてURLの解析に広く利用される標準ライブラリ「urllib.parse」の既知の脆弱性について注意が呼びかけられている。

空白文字で始まるURLにおいてブロックリストメソッドを回避できる脆弱性「CVE-2023-24329」について、CERT/CCが注意を呼びかけたもの。ホスト名、スキームの双方において影響を受ける。

ブラックリストにあるドメインやプロトコルのフィルタリングをバイパスし、本来アクセスが制限されるべきサイトへのアクセスやプロトコルを指定した制限などを回避することが可能。任意のファイルの読み取り、任意のコマンドの実行、サーバサイドリクエストフォージェリ（SSRF）などにつながるおそれもある。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」において、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」、重要度は4段階中2番目にあたる「高（High）」とレーティングされている。

同脆弱性は、6月にリリースされた「Python 3.11.4」「同3.10.12」「同3.9.17」「同3.8.17」「同3.7.17」にて修正された。また10月に正式版の公開が予定されている「同3.12」においても修正が反映される予定。

（Security NEXT - 2023/08/17 ） ツイート

PR

関連記事

「GCP」に他テナントのリポジトリを乗っ取れる脆弱性 - 5月に修正
フィッシングURLが約4割減 - リンク使い回しも影響
ネットバンキングの不正送金件数が約1.8倍に - 被害額は半減
JPCERT/CC、オムロンPSIRTに感謝状 - 製品セキュリティ向上に貢献
iOS版「Firefox」にアップデート - 悪意あるページのPDF保存時に影響
「Django」にセキュリティ更新 - 複数の脆弱性に対応
「ServiceNow AI Platform」にRCE脆弱性 - 修正版を提供
高校で採点済み答案をグループウェアに誤掲載 - 宮城県
支援先事業者宛のメールで誤送信 - いばらき中小企業グローバル推進機構
委託先のサーバから個人情報が流出した可能性 - 韓流エンタメ会社