CVE-2025-64458 — Django 重定向 DoS（Windows 平台）

描述

Django 重定向响应中的一个拒绝服务（DoS）问题，允许攻击者在构造重定向响应时，触发 URL 规范化期间过量的 CPU 消耗。在 Windows 平台上，Python 的 Unicode NFKC 规范化尤其缓慢。因此，使用攻击者控制的超大 Unicode URL 创建 HttpResponseRedirect/HttpResponsePermanentRedirect（或使用 django.shortcuts.redirect()）会导致异常的处理时间，进而造成请求线程耗尽以及服务变慢/中断。

该问题是 CVE-2025-27556 的后续问题，由于 unicodedata.normalize() 在该平台上的性能特性，该问题专门影响 Windows。

影响

• 通过反射或使用用户提供的重定向目标的端点实施未认证 DoS（例如，next/return_to 参数，或应用逻辑使用不可信输入返回重定向）。
• 影响 Django 的重定向类：HttpResponseRedirect (302) 和 HttpResponsePermanentRedirect (301)，以及 django.shortcuts.redirect()。
• 严重性：高（如 Django 发布说明所述）。Linux/macOS 受影响程度要小得多；Windows 上则会出现显著的性能下降。

PoC（poc.py）演示的内容

• 通过在主机名中重复全角 Unicode 字母（例如 Ａ）来构造超长 URL，例如 https://ＡＡ…/。
• 重复实例化 HttpResponseRedirect(url)，从而触发 URL 规范化（iri_to_uri()）和分割（urlsplit()），在 Windows 上执行慢路径。
• 打印随 URL 尺寸增加而变化的每次实例化平均耗时，展示计算时间如何随超大 Unicode 输入而增长。
• 在已修补的 Django 中，过长的重定向目标会提前以 DisallowedRedirect 被拒绝（参见补丁摘要），从而避免昂贵的规范化工作。

补丁摘要 (c880530ddd4f)

• 在 HttpResponseRedirectBase.__init__ 中为重定向目标添加长度防护：
  • 从 django.utils.http 导入 MAX_URL_LENGTH。
  • 将目标转换为 str，并在调用 urlsplit() 之前，如果 len(redirect_to_str) > MAX_URL_LENGTH 则抛出 DisallowedRedirect。
• 扩展测试以确保过长的 Unicode URL 会抛出 DisallowedRedirect。
• 在 4.2.26、5.1.14 和 5.2.8 的发布说明中将该 CVE 记录为因 NFKC 规范化缓慢而导致的 Windows 特定 DoS 风险。

受影响/已修复版本

• 已在以下版本中修复：4.2.26、5.1.14、5.2.8。
• 当重定向目标来自不可信输入时，较旧的补丁级别在 Windows 上存在漏洞。

参考

• 上游补丁 diff：https://github.com/django/django/commit/c880530ddd4fabd5939bab0e148bebe36699432a.diff