内存安全周报第33期|Python漏洞允许远程代码执行攻击

安芯网盾内存安全周报专栏，希望帮助企业更好的理解内存安全相关问题，帮助用户更好的认识发现问题、防止外部入侵等威胁、有效的对系统进行安全设计，以实时防御并终止无文件攻击、0day /Nday攻击、缓冲区溢出攻击、基于内存的攻击等。

1、Python漏洞可能允许远程代码执行攻击

（2月23日）

严重的安全漏洞影响了Python语言，可能导致远程代码执行攻击。与此同时，Python软件基金会(PSF)在其最新更新中又修复了一个bug。

详细信息：

近日，包括CVE-2021-3177、CVE-2021-23336的两个不同的安全漏洞影响了现有的Python版本，导致了严重的后果。

CVE-2021-3177，它是一个缓冲区溢出漏洞，在技术上可能导致Python应用程序中的远程代码执行。根据漏洞描述，Python 3.x到3.9.1在_ctypes/callproc的PyCArg_repr中有缓冲区溢出。这可能导致在某些接受浮点数作为不可信输入的Python应用程序中远程执行代码，如c_double.from_param的1e300参数所示。出现这种情况是因为sprintf的使用不安全。使用ctypes而没有仔细验证传递给它的输入的应用程序可能容易受到这个缺陷的攻击，这将允许攻击者溢出堆栈上的缓冲区并使应用程序崩溃。此漏洞的最大威胁是对系统可用性的威胁。

除了这个漏洞，还有一个web缓存中毒漏洞CVE-2021-23336，也影响了该语言。

Python软件基金会(PSF)最近在Python 3.8.8和3.9.2版本中解决了这两个bug。至于未来的版本，PSF已经确认Python 3.8的最终版本将于2021年5月发布。而Python 3.9.3将在2021年5月发布。

新闻来源：

https://latesthackingnews.com/2021/02/23/a-python-vulnerability-could-allow-remote-code-execution-attacks/

2、IBM为Java运行时、Planning Analytics Workspace、Kenexa LMS发布补丁

（2月23日）

本周，IBM列出了对影响IBM Java运行时、IBM Planning Analytics工作区和IBM Kenexa LMS的漏洞的修复建议，并发布了安全补丁，以解决影响该企业软件解决方案的高级别和中等级别漏洞。

详细信息：

第一个建议针对CVE-2020-14782和CVE-2020-27221，这是IBM Runtime Environment Java 7和8中的两个安全漏洞，企业软件设计者用于将数据和应用程序集成到现有的业务流程。

• CVE-2020-14782是Java SE的库组件中的一个bug，它允许攻击者通过多种协议攻击Java SE，但这需要一个沙箱环境来触发，因此被认为很难利用。
• CVE-2020-27221获得了CVSS 9.8的基础分数，一个关键的评级。这个基于堆栈的缓冲区溢出漏洞与Eclipse OpenJ9有关，远程攻击者可以使用它来执行任意代码或导致应用程序崩溃。

第二个建议集中在IBM Planning Analytics Workspace，这是Planning Analytics的一个组成部分，企业的协作和管理规划软件的一个组成部分。总共解决了影响软件的五个漏洞，包括Node.js HTTP请求走私问题（CVE-2020-8201），CVE-2020-8251（一个Node.js拒绝服务漏洞）和一个Node.js缓冲区溢出错误CVE-2020-8252，攻击者可能利用该漏洞执行任意代码。

另外两个漏洞是数据完整性漏洞，可以通过FasterXML Jackson Databind（CVE-2020-25649）中的XML外部实体（XXE）攻击来触发，而CVE-2020-4953是工作空间中的一个问题，该问题可能允许远程-身份验证-攻击者窃取HTTP响应中暴露的敏感数据，也已得到解决。

新闻来源：

https://www.zdnet.com/article/ibm-patches-vulnerabilities-in-java-runtime-planning-analytics-kenexa-lms/?&web_view=true

专家点评

#内存安全知名专家DPer缓冲区溢出是最常见的内存错误之一，也是攻击者入侵系统时所用到的最强大、最经典的一类漏洞利用方式。利用缓冲区溢出攻击，可以导致进程运行失败、系统宕机、重启等后果。更为严重的是，它可被利用来执行非授权命令，甚至可以取得系统特权，进而进行各种非法操作。安芯神甲智能内存保护系统使用硬件虚拟化技术、内存行为分析技术等，可以有效防范漏洞攻击和基于内存的攻击。