作者wstd (听说炖黄金很好吃喔)
看板Python
标题[资讯] XML Parser DOS
时间Wed Feb 20 23:51:03 2013
今天Python官方发布Django的Security Issue
http://blog.python.org/2013/02/announcing-defusedxml-fixes-for-xml.html
https://www.djangoproject.com/weblog/2013/feb/19/security/
这次似乎是个老问题
也就是一般的XML Parser读到这个小小的档案却会用掉3GB的记忆体
http://en.wikipedia.org/wiki/Billion_laughs
所以大部分的XML Parser都会做过特殊的设定不处理这样的东西
有用XML Parser去读Request的人记得要Patch!!
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 202.174.4.5