CVE-2021-29921

Опубликовано: 06 мая 2021

Источник: nvd

CVSS3: 9.8

CVSS2: 7.5

EPSS Низкий

Уязвимость обхода контроля доступа по IP-адресам в библиотеке "ipaddress" в Python из-за некорректной обработки нулей в октетах

Описание

В библиотеке ipaddress в Python до версии 3.9.5 наблюдается некорректная обработка начальных нулей в октетах строки IP-адреса. Это позволяет злоумышленникам в определённых ситуациях обойти контроль доступа, основанный на IP-адресах.

Затронутые версии ПО

Python до версии 3.9.5

Тип уязвимости

Обход контроля доступа

Ссылки

https://bugs.python.org/issue36384
Issue Tracking
Patch
Vendor Advisory
https://docs.python.org/3/library/ipaddress.html
Vendor Advisory
https://github.com/python/cpython/blob/63298930fb531ba2bb4f23bc3b915dbf1e17e9e1/Misc/NEWS.d/3.8.0a4.rst
Third Party Advisory
https://github.com/python/cpython/pull/12577
Patch
Third Party Advisory
https://github.com/python/cpython/pull/25099
Patch
Third Party Advisory
https://github.com/sickcodes
Third Party Advisory
https://github.com/sickcodes/security/blob/master/advisories/SICK-2021-014.md
Exploit
Third Party Advisory
https://python-security.readthedocs.io/vuln/ipaddress-ipv4-leading-zeros.html
Vendor Advisory
https://security.gentoo.org/glsa/202305-02
https://security.netapp.com/advisory/ntap-20210622-0003/
Third Party Advisory
https://sick.codes/sick-2021-014
Exploit
Third Party Advisory
https://www.oracle.com//security-alerts/cpujul2021.html
Patch
Third Party Advisory
https://www.oracle.com/security-alerts/cpuapr2022.html
Patch
Third Party Advisory
https://www.oracle.com/security-alerts/cpujan2022.html
Patch
Third Party Advisory
https://www.oracle.com/security-alerts/cpujul2022.html
https://www.oracle.com/security-alerts/cpuoct2021.html
Patch
Third Party Advisory
https://bugs.python.org/issue36384
Issue Tracking
Patch
Vendor Advisory
https://docs.python.org/3/library/ipaddress.html
Vendor Advisory
https://github.com/python/cpython/blob/63298930fb531ba2bb4f23bc3b915dbf1e17e9e1/Misc/NEWS.d/3.8.0a4.rst
Third Party Advisory
https://github.com/python/cpython/pull/12577
Patch
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.8.0 (включая) до 3.8.12 (исключая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.9.0 (включая) до 3.9.5 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:oracle:communications_cloud_native_core_automated_test_suite:1.8.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:communications_cloud_native_core_binding_support_function:1.11.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:communications_cloud_native_core_network_slice_selection_function:1.8.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:graalvm:20.3.2:*:*:*:enterprise:*:*:*

cpe:2.3:a:oracle:graalvm:21.1.0:*:*:*:enterprise:*:*:*

cpe:2.3:a:oracle:zfs_storage_appliance_kit:8.8:*:*:*:*:*:*:*

EPSS

Процентиль: 82%

0.01887

Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

NVD-CWE-Other

Связанные уязвимости

CVE-2021-29921

CVSS3: 9.8

ubuntu

около 4 лет назад

In Python before 3,9,5, the ipaddress library mishandles leading zero characters in the octets of an IP address string. This (in some situations) allows attackers to bypass access control that is based on IP addresses.

CVE-2021-29921

CVSS3: 9.1

redhat

около 4 лет назад

CVE-2021-29921

CVSS3: 9.8

debian

около 4 лет назад

In Python before 3,9,5, the ipaddress library mishandles leading zero ...

openSUSE-SU-2021:2940-1

suse-cvrf

почти 4 года назад

Security update for python39

SUSE-SU-2021:2940-1

suse-cvrf

почти 4 года назад

Security update for python39

EPSS

Процентиль: 82%

0.01887

Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

NVD-CWE-Other