Tiết lộ về lỗ hổng phân tích cú pháp URL Python mới có thể cho phép tấn công RCE

Lỗ hổng bảo mật có độ nghiêm trọng mức cao mới được tiết lộ trong chức năng phân tích cú pháp (parse) URL của Python có thể bị khai thác để vượt qua các phương pháp kiểm tra, lọc tên miền hoặc giao thức được triển khai bằng danh sách chặn (blocklist), dẫn đến việc đọc tệp tùy ý và thực thi lệnh.

Trong một tư vấn bảo mật gần đây, Trung tâm CERT Coordination (CERT/CC) của Mỹ cho biết "urlparse gặp sự cố khi phân tích cú pháp nếu URL bắt đầu bằng các ký tự trống". "Sự cố này ảnh hưởng đến cả quá trình phân tích tên máy chủ (hostname) và lược đồ (scheme), và cuối cùng khiến mọi phương pháp sử dụng danh sách chặn đều không thành công."

Nhà nghiên cứu bảo mật Yebo Cao được ghi nhận là người đã phát hiện và báo cáo sự cố này vào tháng 8 năm 2022.

Lỗ hổng được định danh CVE-2023-24329, có điểm CVSS là 7,5, và đã được giải quyết trong các phiên bản sau:

-  >= 3,12

-  3.11.x >= 3.11.4

-  3.10.x >= 3.10.12

-  3.9.x >= 3.9.17

-  3.8.x >= 3.8.17

-  3.7.x >= 3.7.17

urllib.parse là một chức năng phân tích cú pháp được sử dụng rộng rãi giúp chia nhỏ URL thành các thành phần của nó hoặc kết hợp các thành phần thành một chuỗi URL.

CVE-2023-24329 phát sinh do thiếu kiểm tra xác thực đầu vào, do đó dẫn đến tình huống có thể vượt qua (bypass) các phương pháp blocklist bằng cách cung cấp một chuỗi URL bắt đầu bằng ký tự trống (ví dụ: " https://youtube[.] com").

Cao cho biết: "Lỗ hổng này sẽ giúp kẻ tấn công vượt qua các biện pháp bảo vệ do nhà phát triển triển khai cho scheme và máy chủ. Nó có thể tạo điều kiện cho các tấn công SSRF và RCE trong nhiều tình huống."

Nguồn: thehackernews.com.