CVE-2020-4071 in django-basic-auth-ip-whitelist
Riassunto
di VulDB • 30/06/2026
In django-basic-auth-ip-whitelist prima della versione 0.3.4, esiste un potenziale timing attack sui siti web dove l'autenticazione di base (basic authentication) è utilizzata o configurata, ovvero quando le variabili BASIC_AUTH_LOGIN e BASIC_AUTH_PASSWORD sono impostate. Attualmente il confronto tra le credenziali configurate e quelle fornite dagli utenti viene eseguito tramite un confronto carattere per carattere delle stringhe. Ciò consente a un attaccante di misurare il tempo impiegato dal server per convalidare diversi nomi utente e password, sfruttando questa conoscenza per dedurre le credenziali valide. Questo attacco non è considerato realistico su Internet; tuttavia potrebbe essere realizzato da reti locali in cui il sito web è ospitato, ad esempio dall'interno di un data center dove si trova il server del sito. I siti protetti esclusivamente tramite whitelist degli indirizzi IP (IP whitelisting) non sono interessati da questa vulnerabilità. La vulnerabilità è stata risolta nella versione 0.3.4 di django-basic-auth-ip-whitelist. Aggiornare alla versione 0.3.4 il prima possibile e modificare le credenziali dell'autenticazione di base configurate in un progetto Django che utilizza questo pacchetto. Una soluzione alternativa senza aggiornare alla versione 0.3.4 consiste nel cessare l'utilizzo dell'autenticazione di base e utilizzare esclusivamente la whitelist degli indirizzi IP (IP whitelisting). Ciò può essere ottenuto non impostando BASIC_AUTH_LOGIN e BASIC_AUTH_PASSWORD nelle impostazioni del progetto Django.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.