Python 連發 4 版本，修復雜湊碰撞漏洞

發表於2012-04-12
Python

　　Python中的雜湊漏洞基於dict和set型別，攻擊者可利用特殊的輸入語句導致超長的計算時間，甚至拒絕服務。具體來說，攻擊者可以透過雜湊碰撞來計算成千上萬的鍵值，這會導致構造雜湊表時的二元演算法複雜性。

　　為了緩解這一問題，新版本中增加了Python字串型別、datetime.date和datetime.datetime的雜湊隨機化功能，這可以防止攻擊者計算這些型別的碰撞鍵值。

　　事實上，不接受不受信任的輸入的Python應用程式不容易受到這類攻擊。以上提到的Python穩定版本中，雜湊隨機化預設被禁用，可以透過以下兩種方法來啟用：

  • 透過-R命令列選項。
  • 設定環境變數PYTHONHASHSEED的值為“random”。

　　這些版本還修復了expat XML解析庫中的雜湊安全問題，主要與Python core型別有關。現在expat庫中使用的雜湊演算法已經被隨機化了。

　　在這些版本中，其中Python 2.7.3和3.2.3包括安全補丁和正常的bug修復，2.6.8和3.1.5版本中只包含了各種安全補丁。建議Python開發者儘快升級至最新版本。

下載地址：

相關文章