Go, Rust “net” library affected by critical IP address validation vulnerability
2021/08/07 BleepingComputer — Go や Rust などの言語で使われている “net” library も、混合形式 (mixed-format) の IP アドレス検証の脆弱性の影響を受けている。このバグは、IP アドレスが 8進数と 10進数の混合形式で提供されている場合でも、net library が 10進数として処理することに関係している。その結果として、net に依存するアプリケーションは、サーバー・サイド・リクエスト・フォージェリ (SSRF) およびリモート・ファイル・インクルージョン (RFI) の脆弱性にさらされる可能性がある。この欠陥は、何千ものアプリケーションで使用されている、netmask library の実装にも影響を与えていた。その後に、Python の標準ライブラリである、ipaddress にも脆弱性があることが判明した。
Continue reading “Go と Rust の “net” library に影響する IP アドレス解釈の脆弱性とは?”