【漏洞通告】Python URL解析安全绕过漏洞风险通告

近日，嘉诚安全监测到Python的urllib.parse组件中存在安全绕过漏洞，漏洞编号为：CNNVD-202302-1513（CVE-2023-24329）。

Python是Python基金会的一套开源的、面向对象的程序设计语言。该语言具有可扩展、支持模块和包、支持多种平台等特点。Python中的urllib.parse模块主要用于解析和操作URL，它可以将URL分解为其组成部分，或者将各个组成部分组合为URL字符串。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

经研判，该漏洞为高危漏洞。在Python多个受影响版本中，当整个URL以空白字符开头时，urllib.parse会出现解析问题（影响主机名和方案的解析）。可以通过提供以空白字符开头的URL来绕过使用阻止列表实现的任何域或协议过滤方法，成功利用该漏洞可能导致任意文件读取、命令执行或SSRF等。

影响范围：

Python < 3.12

Python 3.11.x < 3.11.4

Python 3.10.x < 3.10.12

Python 3.9.x < 3.9.17

Python 3.8.x < 3.8.17

Python 3.7.x < 3.7.17

根据影响版本中的信息，建议相关用户尽快更新至安全版本：

Python >= 3.12

Python 3.11.x >= 3.11.4

Python 3.10.x >= 3.10.12

Python 3.9.x >= 3.9.17

Python 3.8.x >= 3.8.17

Python 3.7.x >= 3.7.17

下载链接请参考：

https://github.com/python/cpython/tags