CVE-2021-33571

In Django 2.2 before 2.2.24, 3.x before 3.1.12, and 3.2 before 3.2.4, URLValidator, validate_ipv4_address, and validate_ipv46_address do not

CVSS 3.1SCORE

N/A/ 10.0

Опубликовано

8 июня 2021 г.

Обновлено

3 августа 2024 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.2.24, 3.1.12, 3.2.4

Обновите Django до версий 2.2.24, 3.1.12 или 3.2.4 (в Python 3.9.5+ парсер stdlib частично устраняет проблему).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход списков контроля доступа по IP в Django из-за некорректной валидации ведущих нулей в восьмеричных литералах адресов.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Валидаторы URLValidator, validate_ipv4_address и validate_ipv46_address не блокируют лидирующие нули в октетах IPv4. Сторонние парсеры интерпретируют такие адреса как восьмеричные, что приводит к расхождению с результатами проверки Django.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Обход IP-based списков доступа (ACL), фильтров SSRF и фаерволов на уровне приложения.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 2.2➔Fix: 2.2.24

——

>= 3.0➔Fix: 3.1.12

——

>= 3.2➔Fix: 3.2.4

——

>= 2.2a1➔Fix: 2.2.24

——

>= 3.0a1➔Fix: 3.1.12

——

>= 3.2a1➔Fix: 3.2.4

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

docs.djangoproject.comhttps://docs.djangoproject.com/en/3.2/releases/security/
groups.google.comhttps://groups.google.com/g/django-announce/c/sPyjSKMi8Eo
www.djangoproject.comhttps://www.djangoproject.com/weblog/2021/jun/02/security-releases/
security.netapp.comhttps://security.netapp.com/advisory/ntap-20210727-0004/
lists.fedoraproject.orghttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/B4SQG2EAF4WCI2SLRL6XRDJ3RPK3ZRDV/
github.comhttps://github.com/django/django/commit/f27c38ab5d90f68c9dd60cabef248a570c0be8fc
github.comhttps://github.com/django/django/commit/203d4ab9ebcd72fc4d6eb7398e66ed9e474e118e
github.comhttps://github.com/django/django/commit/9f75e2e562fa0c0482f3dde6fc7399a9070b4a3d

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2021-33571: In Django 2.2 before 2.2.24, 3.x before 3.1.12, and 3.2 before 3.2.4, URLValidator, validate_ipv4_address, and validate_ipv46_address do not. URL: https://cve.futuretools.ru/cve/CVE-2021-33571

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2021_33571,
  title = {{CVE-2021-33571: In Django 2.2 before 2.2.24, 3.x before 3.1.12, and 3.2 before 3.2.4, URLValidator, validate_ipv4_address, and validate_ipv46_address do not}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2021-33571}},
  note = {Оперативный инженерный анализ киберугроз}
}