A new vulnerability has appeared that has been registered
as CVE-2021-29921, This critical vulnerability affects the standard library
of Python. As already happened with netmask a few months ago, the error lies in
the validation of IP addresses.
In this case, the error affects the module ipaddress in
the versions of Python 3.8 to 3.10, this error comes from a change
made in version 3.8.0a4 in the year 2019.
The module ipaddress is responsible for easily creating
IP addresses, networks and interfaces. The vulnerability affects how this module
performs the analysis of IP addresses, performing an incorrect analysis of
the same. Although the most common is to see
IPv4 addresses in decimal format, cabe resaltar que es posible cambiar
el formato a entero, octal o incluso hexadecimal.
Según la especificación original de IETF, las direcciones
IPv4 que estén interpretadas en octal pueden diferenciarse si tienen el prefijo
“0”. Esto es debido a que existe direcciones IP ambiguas, como puede ser 127.0.0.1,
dirección que es una IP privada, aunque la representación de está puede ser
también una IP pública que conduce a un host completamente diferente.
En el caso de las direcciones IP de la biblioteca estándar de
Python, los ceros iniciales simplemente se eliminarían y descartarían. Esto ha
sido comprobado por los investigadores Sick Codes y Victor Viale. I mean,
esto indica que si se analiza mediante el módulo de ipaddress en Python
(con una de las versiones afectadas), la IP ‘010.8.8.8’ sería tratada como ’10.8.8.8’,
cuando realmente se debería de entender como ‘8.8.8.8’.
Este fallo de Python podría llegar a permitir ataques
remotos. Esto se debe a que un atacante sin ningún tipo de autorización podría
llegar a realizar solicitudes falsas del dalo del servidor, inclusión remota de
archivos o archivos locales. Este problema afecta a miles de programas basados
en Python que implementan el módulo ipaddress.
La vulnerabilidad va a ser corregida en un parche, although,
como indican los propios investigadores es poco común la gestión de direcciones
IP con ceros a la izquierda. Therefore, es un fallo que no debería afectar a
muchos usuarios, aunque esto no deber evitar que sea corregido el problema.