dnspython bị CVE-2026-128089: nâng cấp lên phiên bản 2.9.2 trở lên

GitHub Advisories đã công bố cảnh báo GHSA-vvf4-9x63-8xvv cho thư viện DNS dnspython. Lỗ hổng có thể xảy ra khi phân tích zone file độc hại; hướng xử lý được nêu là nâng cấp lên phiên bản 2.9.2 trở lên. Xem advisory trên GitHub.

Tổng quan và thông tin kỹ thuật

dnspython là thư viện Python dùng để làm việc với DNS. Lỗ hổng CVE-2026-128089 được gán CWE-400 và CWE-770, với điểm CVSS 7.5 theo CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H.

Phạm vi ảnh hưởng

Rủi ro cần lưu ý đặc biệt nếu ứng dụng đọc zone file có dữ liệu do người dùng hoặc nguồn không tin cậy kiểm soát.

Cơ chế và tác động

Hàm phân tích from_text() không kiểm tra số dịch vụ trong bản ghi WKS có nằm trong khoảng 0–65535 hay không, trước khi dùng giá trị này để mở rộng bitmap. Zone file do kẻ tấn công kiểm soát có thể khiến thư viện cấp phát lượng bộ nhớ rất lớn và tiêu tốn CPU.

Hậu quả có thể là từ chối dịch vụ hoặc tiến trình thoát do cạn bộ nhớ.

Kiểm tra hệ thống

1. Kiểm tra phiên bản dnspython được cài trong môi trường Python hiện hành:

   Sao chép lệnh

   python -m pip show dnspython

   Phiên bản 2.9.2 trở lên đã được vá; phiên bản thấp hơn 2.9.2 cần nâng cấp.

Khắc phục và giảm thiểu

1. Nâng cấp gói pip:dnspython lên phiên bản 2.9.2 hoặc mới hơn, đặc biệt nếu ứng dụng đọc zone file có dữ liệu do người dùng hoặc nguồn không tin cậy kiểm soát.

2. Sau khi nâng cấp, chạy lại python -m pip show dnspython và xác nhận phiên bản là 2.9.2 trở lên.

Nguồn tham khảo

• GitHub Advisories: GHSA-vvf4-9x63-8xvv