CVE-2020-4071 in django-basic-auth-ip-whitelist
Tóm tắt
Bởi VulDB • 30/06/2026
Trong django-basic-auth-ip-whitelist trước phiên bản 0.3.4, tồn tại một cuộc tấn công timing (tấn công thời gian) tiềm ẩn trên các trang web sử dụng hoặc cấu hình xác thực cơ bản (basic authentication), tức là khi BASIC_AUTH_LOGIN và BASIC_AUTH_PASSWORD được thiết lập. Hiện tại, việc so sánh chuỗi giữa thông tin đăng nhập đã cấu hình và những gì người dùng cung cấp được thực hiện qua phép so sánh chuỗi từng ký tự một. Điều này tạo ra khả năng kẻ tấn công có thể đo lường thời gian máy chủ cần để xác minh các tên người dùng và mật khẩu khác nhau, từ đó sử dụng kiến thức này để suy ra thông tin đăng nhập hợp lệ. Cuộc tấn công này được cho là không thực tế khi diễn ra qua Internet. Tuy nhiên, nó có thể được thực hiện từ bên trong mạng nội bộ nơi trang web được lưu trữ, ví dụ như từ bên trong một trung tâm dữ liệu chứa máy chủ của trang web. Các trang web chỉ được bảo vệ bằng danh sách trắng địa chỉ IP (IP whitelisting) thì không bị ảnh hưởng bởi lỗ hổng này. Lỗ hổng này đã được sửa chữa ở phiên bản 0.3.4 của django-basic-auth-ip-whitelist. Hãy cập nhật lên phiên bản 0.3.4 càng sớm càng tốt và thay đổi tên người dùng và mật khẩu xác thực cơ bản (basic authentication) đã cấu hình trong dự án Django sử dụng gói này. Một giải pháp tạm thời mà không cần nâng cấp lên phiên bản 0.3.4 là ngừng sử dụng xác thực cơ bản và chỉ sử dụng thành phần danh sách trắng địa chỉ IP. Điều này có thể đạt được bằng cách không thiết lập BASIC_AUTH_LOGIN và BASIC_AUTH_PASSWORD trong cài đặt của dự án Django.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.