CVE-2024-11168

描述

The urllib.parse.urlsplit() and urlparse() functions improperly validated bracketed hosts (`[]`), allowing hosts that weren't IPv6 or IPvFuture. This behavior was not conformant to RFC 3986 and potentially enabled SSRF if a URL is processed by more than one URL parser.

如何修補 CVE-2024-11168

要修補 CVE-2024-11168,請將受影響套件升級到下列已修補版本。

• Bitnami/libpython—升級至 3.9.21 或更新版本
• Bitnami/python—升級至 3.9.21 或更新版本
• Bitnami/python-min—升級至 3.9.21 或更新版本
• —升級至 7.3.5+dfsg-2+deb11u5 或更新版本
• —升級至 7.3.5+dfsg-2+deb11u5 或更新版本
• —升級至 3.11.2-6+deb12u5 或更新版本
• —升級至 3.9.2-1+deb11u2 或更新版本

CVE-2024-11168 正在被利用嗎?

低 — EPSS 為 0.7%,目前沒有觀察到大規模利用活動。

受影響套件(7)

• from 0, < 3.9.21, >= 3.10.0, < 3.10.16, >= 3.11.0, < 3.11.4
• from 0, < 3.9.21, >= 3.10.0, < 3.10.16, >= 3.11.0, < 3.11.4
• from 0, < 3.9.21, >= 3.10.0, < 3.10.16, >= 3.11.0, < 3.11.4
• from 0, < 7.3.5+dfsg-2+deb11u5
• from 0, < 7.3.5+dfsg-2+deb11u5
• from 0, < 3.11.2-6+deb12u5
• from 0, < 3.9.2-1+deb11u2

CVSS 分數

參考連結(11)

• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2024-11168
• WEBgithub.com/python/cpython/commit/29f348e232e82938ba2165843c448c2b291504c5
• WEBgithub.com/python/cpython/commit/634ded45545ce8cbd6fd5d49785613dd7fa9b89e
• WEBgithub.com/python/cpython/commit/b2171a2fd41416cf68afd67460578631d755a550