番茄系統(tǒng)家園 - 免費重裝系統(tǒng)！簡單裝系統(tǒng)，人人都是裝機(jī)大師！
當(dāng)前位置：首頁>電腦故障 > 混合進(jìn)制IP地址解析漏洞，Go，Rust語言net類庫受影響

混合進(jìn)制IP地址解析漏洞，Go，Rust語言net類庫受影響

來源：番茄系統(tǒng)家園瀏覽：時間：2022-02-16 09:43:39

本周在DEFCON大会上，由多名安全研究人员披露十进制和八进制混合IP地址解析漏洞，多种语言受影响，包括Go和Rust的官方类库net。以及Python的标准库ipaddress。

混合进制IP地址解析漏洞，Go，Rust语言net类库受影响

概述

Go和 Rust语言中常用的net库,受到混合格式IP地址验证漏洞的影响。该漏洞源于库中对IP地址处理时候将八进制-十进制)格式混合格式的八进制的数据当作十进制有关。

所有使用这次基础库的应用程序可能会受到不确定的服务器端请求伪造(SSRF) 和远程文件包含(RFI) 漏洞的攻击。

因为该基础库被广使用，所以大量的Go,Rust网络应用都受到影响。

另外，Python 标准库ipaddress也受漏洞影响。

漏洞原理

漏洞CVE编号为CVE-2021-29922(Rust库)和CVE-2021-29923(Golang库)，主要在其同名类库net处理混合格式的IP地址，或者更具体地说，当十进制IPv4地址包含数据以0开始时。

众所周知，IP地址可以用多种格式表示，包括十六进制和整数，尽管最常见的IPv4地址以十进制格式表示。

比如8.8.8.8

该地址可以用八进制格式表示为 0010.0010.0010.0010。

我们日常最常用的一个本地IP地址(回环地址，localhost)为127.0.0.1。假如对其第一部分IP地址添加一个0，则0127.0.0.1会被解析为啥呢?

我们在浏览器中输入这个地址。在火狐浏览器的地址栏中输入0127.0.0.1，浏览器将其自动转化为八进制格式 。

混合进制IP地址解析漏洞，Go，Rust语言net类库受影响

其他浏览器也是如此，比如谷歌Chrome：

混合进制IP地址解析漏洞，Go，Rust语言net类库受影响

根据IETF草案，如果前缀为“0”，则 IPv4 地址的部分可以解释为八进制。但是，在net库中，任何前置零的地址都被简单地剥离和丢弃。

在Golang和Rust的net模块中将IPv4地址的八位字节都被简单视为十进制。因此，如果开发人员使用net来验证IP地址是否属于某个范围(例如，根据访问控制列表(ACL)解析IP列表)，对于基于八进制的IPv4地址表示，结果可能会完全错误。

混合进制IP地址解析漏洞，Go，Rust语言net类库受影响

这样可能会导致应用程序中出现不确定的服务器端请求伪造 (SSRF)和远程文件包含(RFI)漏洞。

漏洞影响

由于net库在Golang和Rust语言中均为核心库，被大量应用所依赖，通过在Github上简单搜索，仅golang中依赖该库的代码文件超超过49w。

混合进制IP地址解析漏洞，Go，Rust语言net类库受影响

而且Go和Rust不是唯一受该漏洞影响的语言，还有Python语言的ipaddress 库 (CVE-2021-29921)、netmask库(CVE-2021-28918、CVE-2021-29418) 和等类似的库也受影响。

该系列漏洞大多都被评为有高或严重的严重性。

混合进制IP地址解析漏洞，Go，Rust语言net类库受影响

漏洞解决

目前 Golang 的 net 模块将补丁将在Golang 1.17 版中发布。

对于 Rust net里，也已经有一个修复程序已经合并：

混合进制IP地址解析漏洞，Go，Rust语言net类库受影响

请使用这些类库的同学，关注官方漏洞发布及时更新版本。

鸿蒙官方战略合作共建——HarmonyOS技术社区

推薦系統(tǒng)

  • 雨林木風(fēng) winxp下載 純凈版 永久激活 winxp ghost系統(tǒng) sp3 系統(tǒng)下載

    雨林木風(fēng) winxp下載 純凈版 永久激活 winxp ghost系統(tǒng) sp3 系統(tǒng)下載64位
    系統(tǒng)大小：0MB系統(tǒng)類型：WinXP

    雨林木風(fēng)在系統(tǒng)方面技術(shù)積累雄厚深耕多年，打造了國內(nèi)重裝系統(tǒng)行業(yè)知名品牌，雨林木風(fēng)WindowsXP其系統(tǒng)口碑得到許多人認(rèn)可，積累了廣大的用戶群體，是一款穩(wěn)定流暢的系統(tǒng)，雨林木風(fēng) winxp下載 純凈版 永久激活 winxp ghost系統(tǒng) sp3 系統(tǒng)下載，有需要的朋友速度下載吧。

    系統(tǒng)等級：
    進(jìn)入下載 >

  • 蘿卜家園win7純凈版 ghost系統(tǒng)下載 x64 聯(lián)想電腦專用

    蘿卜家園win7純凈版 ghost系統(tǒng)下載 x64 聯(lián)想電腦專用64位
    系統(tǒng)大?。?/em>0MB系統(tǒng)類型：Win7

    蘿卜家園win7純凈版是款非常純凈的win7系統(tǒng)，此版本優(yōu)化更新了大量的驅(qū)動，幫助用戶們進(jìn)行舒適的使用，更加的適合家庭辦公的使用，方便用戶，有需要的用戶們快來下載安裝吧。

    系統(tǒng)等級：
    進(jìn)入下載 >

  • 雨林木風(fēng)xp系統(tǒng) xp系統(tǒng)純凈版 winXP ghost xp sp3 純凈版系統(tǒng)下載

    雨林木風(fēng)xp系統(tǒng) xp系統(tǒng)純凈版 winXP ghost xp sp3 純凈版系統(tǒng)下載64位
    系統(tǒng)大小：1.01GB系統(tǒng)類型：WinXP

    雨林木風(fēng)xp系統(tǒng) xp系統(tǒng)純凈版 winXP ghost xp sp3 純凈版系統(tǒng)下載，雨林木風(fēng)WinXP系統(tǒng)技術(shù)積累雄厚深耕多年，采用了新的系統(tǒng)功能和硬件驅(qū)動，可以更好的發(fā)揮系統(tǒng)的性能，優(yōu)化了系統(tǒng)、驅(qū)動對硬件的加速，加固了系統(tǒng)安全策略，運(yùn)行環(huán)境安全可靠穩(wěn)定。

    系統(tǒng)等級：
    進(jìn)入下載 >

  • 蘿卜家園win10企業(yè)版 免激活密鑰 激活工具 V2023 X64位系統(tǒng)下載

    蘿卜家園win10企業(yè)版 免激活密鑰 激活工具 V2023 X64位系統(tǒng)下載64位
    系統(tǒng)大?。?/em>0MB系統(tǒng)類型：Win10

    蘿卜家園在系統(tǒng)方面技術(shù)積累雄厚深耕多年，打造了國內(nèi)重裝系統(tǒng)行業(yè)的蘿卜家園品牌，(win10企業(yè)版,win10 ghost,win10鏡像),蘿卜家園win10企業(yè)版 免激活密鑰 激活工具 ghost鏡像 X64位系統(tǒng)下載,其系統(tǒng)口碑得到許多人認(rèn)可，積累了廣大的用戶群體，蘿卜家園win10純凈版是一款穩(wěn)定流暢的系統(tǒng),一直以來都以用戶為中心，是由蘿卜家園win10團(tuán)隊推出的蘿卜家園

    系統(tǒng)等級：
    進(jìn)入下載 >

  • 蘿卜家園windows10游戲版 win10游戲?qū)I(yè)版 V2023 X64位系統(tǒng)下載

    蘿卜家園windows10游戲版 win10游戲?qū)I(yè)版 V2023 X64位系統(tǒng)下載64位
    系統(tǒng)大小：0MB系統(tǒng)類型：Win10

    蘿卜家園windows10游戲版 win10游戲?qū)I(yè)版 ghost X64位 系統(tǒng)下載，蘿卜家園在系統(tǒng)方面技術(shù)積累雄厚深耕多年，打造了國內(nèi)重裝系統(tǒng)行業(yè)的蘿卜家園品牌，其系統(tǒng)口碑得到許多人認(rèn)可，積累了廣大的用戶群體，蘿卜家園win10純凈版是一款穩(wěn)定流暢的系統(tǒng),一直以來都以用戶為中心，是由蘿卜家園win10團(tuán)隊推出的蘿卜家園win10國內(nèi)鏡像版，基于國內(nèi)用戶的習(xí)慣，做

    系統(tǒng)等級：
    進(jìn)入下載 >

  • windows11下載 蘿卜家園win11專業(yè)版 X64位 V2023官網(wǎng)下載

    windows11下載 蘿卜家園win11專業(yè)版 X64位 V2023官網(wǎng)下載64位
    系統(tǒng)大小：0MB系統(tǒng)類型：Win11

    蘿卜家園在系統(tǒng)方面技術(shù)積累雄厚深耕多年，windows11下載 蘿卜家園win11專業(yè)版 X64位 官網(wǎng)正式版可以更好的發(fā)揮系統(tǒng)的性能，優(yōu)化了系統(tǒng)、驅(qū)動對硬件的加速，使得軟件在WINDOWS11系統(tǒng)中運(yùn)行得更加流暢，加固了系統(tǒng)安全策略，WINDOWS11系統(tǒng)在家用辦公上跑分表現(xiàn)都是非常優(yōu)秀，完美的兼容各種硬件和軟件，運(yùn)行環(huán)境安全可靠穩(wěn)定。

    系統(tǒng)等級：
    進(jìn)入下載 >

熱門系統(tǒng)

常用系統(tǒng)