CVE-2020-8492: Python 2.7 through 2.7.17, 3.5 through 3.5.9, 3.6 through 3.6.10, 3.7 through 3.7.6, and 3.8 through 3.8.1 allows an HTTP server to conduct

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• canonical ubuntu linux12.04
• canonical ubuntu linux14.04
• canonical ubuntu linux16.04
• canonical ubuntu linux18.04
• canonical ubuntu linux19.10
• canonical ubuntu linux20.04
• debian debian linux9.0
• fedoraproject fedora31
• fedoraproject fedora32
• opensuse leap15.1
• python python3.6.0 и новее · до 3.6.10 включительно
• python python3.5.0 и новее · до 3.5.9 включительно
• python python2.7.0 и новее · до 2.7.17 включительно
• python python3.8.0 и новее · до 3.8.1 включительно
• python python3.7.0 и новее · до 3.7.6 включительно

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2016-5636Integer overflow in the get_data function in zipimport.c in CPython (aka Python) before 2.7.12, 3.x before 3.4.5, and 3.5.x before 3.5.2 all
  47В плане
• CVE-2007-4559Directory traversal vulnerability in the (1) extract and (2) extractall functions in the tarfile module in Python allows user-assisted remot
  47В плане
• CVE-2021-3177Python 3.x through 3.9.1 has a buffer overflow in PyCArg_repr in _ctypes/callproc.c, which may lead to remote code execution in certain Pyth
  46В плане

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2016-100011027 нояб. 2019 г. · The CGIHandler class in Python before 2.7.12 does not protect against the HTTP_PROXY variable name clash in a CGI script, which could allow
  25Наблюдать
• ← РаньшеCVE-2020-831528 янв. 2020 г. · In Python (CPython) 3.6 through 3.6.10, 3.7 through 3.7.6, and 3.8 through 3.8.1, an insecure dependency load upon launch on Windows 7 may r
  22Наблюдать
• Позже →CVE-2019-96744 февр. 2020 г. · Lib/zipfile.py in Python through 3.7.2 allows remote attackers to cause a denial of service (resource consumption) via a ZIP bomb.
  32Наблюдать

Первопричина

Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("слишком глубоко");4  return node.children.map((c) => expand(c, depth + 1));5}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.