CVE-2020-4071 in django-basic-auth-ip-whitelist
摘要
由 VulDB • 2026-07-14
在 django-basic-auth-ip-whitelist 版本低于 0.3.4 时，在使用或配置了基本身份验证（即设置了 BASIC_AUTH_LOGIN 和 BASIC_AUTH_PASSWORD）的网站中存在潜在的时间侧信道攻击（timing attack）。目前，配置的凭据与用户提供的凭据之间的字符串比较是通过逐字符的字符串比较方式进行的。这使得攻击者有可能测量服务器验证不同用户名和密码所花费的时间，并利用此知识推导出有效的凭据。据了解，这种攻击在互联网上并不具备现实可行性。然而，在托管该网站的内网环境中（例如位于数据中心内部的 Web 服务器所在网络），此类攻击是可能实现的。仅通过 IP 地址白名单进行保护的站点不受此漏洞影响。该漏洞已在 django-basic-auth-ip-whitelist 0.3.4 版本中修复。请尽快升级至 0.3.4 版本，并更改在使用此包的 Django 项目中配置的基本身份验证用户名和密码。如果不升级到 0.3.4 版本，一种变通方法是不再使用基本身份验证，而仅使用 IP 白名单组件。这可以通过不在 Django 项目设置中配置 BASIC_AUTH_LOGIN 和 BASIC_AUTH_PASSWORD 来实现。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.