CVE-2020-4071 in django-basic-auth-ip-whitelist
Resumen
por VulDB • 2026-08-30
En django-basic-auth-ip-whitelist anterior a la versión 0.3.4, existe un posible ataque de tiempo (timing attack) en los sitios web donde se utiliza o configura la autenticación básica, es decir, cuando están configurados BASIC_AUTH_LOGIN y BASIC_AUTH_PASSWORD. Actualmente, la comparación de cadenas entre las credenciales configuradas y las proporcionadas por los usuarios se realiza mediante una comparación carácter por carácter. Esto permite que un atacante pueda medir el tiempo que tarda el servidor en validar diferentes nombres de usuario y contraseñas, utilizando este conocimiento para deducir las credenciales válidas. Este ataque no se considera realista a través de Internet. Sin embargo, podría lograrse desde dentro de redes locales donde está alojado el sitio web, por ejemplo, desde dentro de un centro de datos donde se encuentra el servidor del sitio. Los sitios protegidos únicamente mediante listas blancas de direcciones IP (IP whitelisting) no se ven afectados por esta vulnerabilidad. Esta vulnerabilidad ha sido corregida en la versión 0.3.4 de django-basic-auth-ip-whitelist. Actualice a la versión 0.3.4 lo antes posible y cambie el nombre de usuario y la contraseña configurados para la autenticación básica en un proyecto Django que utilice este paquete. Una solución alternativa sin actualizar a la versión 0.3.4 es dejar de usar la autenticación básica y utilizar únicamente el componente de listas blancas de IP (IP whitelisting). Esto se logra no estableciendo BASIC_AUTH_LOGIN ni BASIC_AUTH_PASSWORD en los ajustes del proyecto Django.
If you want to get best quality of vulnerability data, you may have to visit VulDB.