低危 在 urllib3 中重定向后未剥离请求正文 (CVE-2023-45803)
CVE编号
CVE-2023-45803利用情况
暂无补丁情况
官方补丁披露时间
2023-10-18漏洞描述
urllib3是Python的一款用户友好的HTTP客户端库。之前，urllib3在HTTP重定向响应（状态码为301、302或303）后没有删除HTTP请求体，即使请求的方法已从一种可以接受请求体的方法（如`POST`）更改为HTTP RFC要求的`GET`。尽管此行为未在重定向部分中指定，但可以通过将来自不同部分的信息进行拼接来推测出此行为，我们还观察到其他主要HTTP客户端实现（如curl和Web浏览器）中存在此行为。由于此漏洞需要先前可信服务被入侵以对机密性产生影响，我们认为此漏洞的利用可能性较低。此外，许多用户在HTTP请求体中不放置敏感数据，如果是这种情况，则无法利用此漏洞。受此漏洞影响必须同时满足以下两个条件：1. 使用urllib3并在HTTP请求体中提交敏感信息（如表单数据或JSON），并且2. 原服务被入侵并开始使用301、302或303重定向到恶意对端或被重定向的服务被入侵。此问题已在版本1.26.18和2.0.7中得到解决，建议用户更新以解决此问题。无法更新的用户应禁用对不希望使用redirect的服务的重定向（`redirects=False`），并禁用自动重定向（`redirects=False`），并通过剥离HTTP请求体来手动处理301、302和303重定向。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | python | urllib3 | * | Up to (excluding) 1.26.18 | |||||
| 运行在以下环境 | |||||||||
| 应用 | python | urllib3 | * | From (including) 2.0.0 | Up to (excluding) 2.0.7 | ||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.15 | py3-urllib3 | * | Up to (excluding) 1.26.18-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.16 | py3-urllib3 | * | Up to (excluding) 1.26.18-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.17 | py3-urllib3 | * | Up to (excluding) 1.26.18-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.18 | py3-urllib3 | * | Up to (excluding) 1.26.18-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_edge | py3-urllib3 | * | Up to (excluding) 1.26.18-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_10 | python-urllib3 | * | Up to (including) 1.24.1-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_11 | python-urllib3 | * | Up to (including) 1.26.5-1~exp1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_12 | python-urllib3 | * | Up to (including) 1.26.12-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_sid | python-urllib3 | * | Up to (excluding) 1.26.18-1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedoraproject | fedora | 38 | - | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_37 | python3-urllib3+brotli | * | Up to (excluding) 1.26.18-1.fc37 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_38 | python3-urllib3+brotli | * | Up to (excluding) 1.26.18-1.fc38 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_39 | python3-urllib3+brotli | * | Up to (excluding) 1.26.18-1.fc39 | |||||
- 攻击路径 本地
- 攻击复杂度 困难
- 权限要求 管控权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-200 | 信息暴露 |
| NVD-CWE-noinfo |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论