CVE-2025-64458 — Django Redirect DoS unter Windows

Beschreibung

Ein Denial-of-Service-Problem (DoS) in Djangos Weiterleitungsantworten ermöglicht es einem Angreifer, während der URL-Normalisierung bei der Konstruktion von Weiterleitungsantworten übermäßige CPU-Arbeit auszulösen. Unter Windows ist die Unicode-NFKC-Normalisierung von Python besonders langsam. Infolgedessen kann das Erstellen von HttpResponseRedirect/HttpResponsePermanentRedirect (oder die Verwendung von django.shortcuts.redirect()) mit vom Angreifer kontrollierten, sehr großen Unicode-URLs zu pathologischen Verarbeitungszeiten führen, was zur Erschöpfung der Anforderungsthreads und zu Dienstverlangsamung/-ausfall führt.

Dieses Problem schließt an CVE-2025-27556 an und betrifft aufgrund der Leistungsmerkmale von unicodedata.normalize() auf dieser Plattform speziell Windows.

Auswirkungen

• Nicht authentifizierter DoS über Endpunkte, die benutzerbereitgestellte Weiterleitungsziele widerspiegeln oder verwenden (z. B. next/return_to-Parameter oder App-Logik, die eine Weiterleitung mit nicht vertrauenswürdiger Eingabe zurückgibt).
• Betrifft Djangos Weiterleitungsklassen: HttpResponseRedirect (302) und HttpResponsePermanentRedirect (301) sowie django.shortcuts.redirect().
• Schweregrad: Hoch (wie in den Versionshinweisen von Django vermerkt). Linux/macOS sind weitaus weniger betroffen; Windows zeigt erhebliche Verlangsamungen.

Was der PoC (poc.py) demonstriert

• Erstellt extrem lange URLs durch Wiederholen eines breiten Unicode-Buchstabens im Hostnamen (z. B. Ａ), z. B. https://ＡＡ…/.
• Instanziiert wiederholt HttpResponseRedirect(url), was URL-Normalisierung (iri_to_uri()) und Aufteilung (urlsplit()) auslöst und den langsamen Pfad unter Windows beansprucht.
• Gibt die durchschnittliche Zeit pro Instanziierung bei zunehmenden URL-Größen aus und zeigt, wie die Berechnungszeit mit sehr großen Unicode-Eingaben wächst.
• Bei gepatchtem Django werden übermäßig lange Weiterleitungsziele frühzeitig mit DisallowedRedirect abgewiesen (siehe Patch-Zusammenfassung), was die aufwändige Normalisierungsarbeit verhindert.

Patch-Zusammenfassung (c880530ddd4f)

• Fügt eine Längenbegrenzung für Weiterleitungsziele in HttpResponseRedirectBase.__init__ hinzu:
  • Importiert MAX_URL_LENGTH aus django.utils.http.
  • Konvertiert das Ziel in str und löst DisallowedRedirect aus, wenn len(redirect_to_str) > MAX_URL_LENGTH, bevor urlsplit() aufgerufen wird.
• Erweitert Tests, um sicherzustellen, dass übermäßig lange Unicode-URLs DisallowedRedirect auslösen.
• Dokumentiert die CVE in den Versionshinweisen zu 4.2.26, 5.1.14 und 5.2.8 als Windows-spezifisches DoS-Risiko aufgrund langsamer NFKC-Normalisierung.

Betroffene/Behobene Versionen

• Behoben in: 4.2.26, 5.1.14, 5.2.8.
• Ältere Patch-Level sind unter Windows anfällig, wenn Weiterleitungsziele aus nicht vertrauenswürdigen Eingaben stammen.

Referenz

• Upstream-Patch-Diff: https://github.com/django/django/commit/c880530ddd4fabd5939bab0e148bebe36699432a.diff