CVE-2019-10160

Atakujący dostarcza specjalnie spreparowany adres URL, w którym złośliwe dane umieszczone są w polach użytkownika lub hasła. Podatny parser URL w Pythonie nieprawidłowo interpretuje taki adres, co skutkuje błędnym wyznaczeniem hosta docelowego. Aplikacja, która przechowuje lub przesyła na podstawie tego URL ciasteczka, dane logowania lub inne wrażliwe informacje, może je wysłać do hosta kontrolowanego przez atakującego zamiast do zamierzonego serwera.

Atakujący może doprowadzić do ujawnienia danych uwierzytelniających, ciasteczek sesyjnych lub innych poufnych informacji poprzez przekierowanie ich do kontrolowanego przez siebie hosta. Konkretne skutki zależą od sposobu, w jaki podatna aplikacja przetwarza i wykorzystuje dostarczone adresy URL.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Red Hat udostępnił poprawki w erratach RHSA-2019:1587, RHSA-2019:1700 oraz RHSA-2019:2437. Dostępne są również aktualizacje dla openSUSE. Zaleca się aktualizację Pythona do wersji niezawierającej regresji wskazanych przez producenta.

Python w wersjach 2.7, 3.5, 3.6, 3.7 oraz od v3.8.0a4 do v3.8.0b1 (począwszy od commitu d537ab0ff9767ef024f26246899728f0116b1ec3)

Podatność stanowi regresję wcześniej łatanej luki CVE-2019-9636, wprowadzoną w commicie d537ab0ff9767ef024f26246899728f0116b1ec3. Oznacza to, że pierwotna poprawka nie wyeliminowała problemu w pełnym zakresie — atakujący mógł nadal eksploitować ten sam wektor ataku przez nadużycie pól user i password w URL.