Python URL 解析函數(shù)中的一個高嚴重性安全漏洞已被披露，該漏洞可繞過 blocklist 實現(xiàn)的域或協(xié)議過濾方法，導致任意文件讀取和命令執(zhí)行。
CERT 協(xié)調(diào)中心（CERT/CC）在周五的一份公告中說：當整個 URL 都以空白字符開頭時，urlparse 就會出現(xiàn)解析問題。"這個問題會影響主機名和方案的解析，最終導致任何攔截列表方法失效"。
該漏洞為 CVE-2023-24329，CVSS 得分為 7.5。安全研究員 Yebo Cao 于 2022 年 8 月發(fā)現(xiàn)并報告了該漏洞。該漏洞已在以下版本中得到解決：
- >= 3.12
- 3.11.x >= 3.11.4
- 3.10.x >= 3.10.12
- 3.9.x >= 3.9.17
- 3.8.x >= 3.8.17
- 3.7.x >= 3.7.17
urllib.parse 是一個廣泛使用的解析函數(shù)，可將 URL 分解為各個組成部分，或?qū)⒏鱾€組成部分合并為一個 URL 字符串。
CVE-2023-24329 的出現(xiàn)是由于缺乏輸入驗證，從而導致有可能通過提供以空白字符開頭的 URL（例如 " https://youtube[.]com"）來繞過 blocklisting 。
該漏洞可以幫助攻擊者繞過主機設置的保護措施，同時在多種場景下助力 SSRF 和 RCE。文章來源：http://www.zghlxwxcb.cn/news/detail-650873.html
?文章來源地址http://www.zghlxwxcb.cn/news/detail-650873.html
到了這里，關于新的 Python URL 解析漏洞可能導致命令執(zhí)行攻擊的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網(wǎng)！
