CVE-2024-11168
ŚrednieStreszczenie
Funkcje urllib.parse.urlsplit() i urlparse() w Pythonie nieprawidłowo walidują hosty w nawiasach kwadratowych (`[]`), akceptując hosty, które nie są IPv6 ani IPvFuture. To zachowanie jest niezgodne z RFC 3986 i może potencjalnie umożliwić ataki SSRF (Server-Side Request Forgery), jeśli URL jest przetwarzany przez więcej niż jeden parser URL.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataku SSRF, co może prowadzić do nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych.
Rekomendacja
Zaleca się aktualizację Pythona do wersji, w której poprawiono walidację hostów w nawiasach kwadratowych, oraz unikanie przetwarzania URL-i przez wiele parserów.
Oryginalny opis (angielski, źródło NVD)
The urllib.parse.urlsplit() and urlparse() functions improperly validated bracketed hosts (`[]`), allowing hosts that weren't IPv6 or IPvFuture. This behavior was not conformant to RFC 3986 and potentially enabled SSRF if a URL is processed by more than one URL parser.