Security: xml.etree.ElementTree used across 10 core modules — no XXE protection
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 48/100
Direzione di ricerca
Review the XML imports in base.py, firewall.py, network.py, panorama.py, policies.py, objects.py, ha.py, plugins.py, userid.py, and init.py, then inspect panos/base.py:3172 for the hashlib.sha1 use. Treat the two findings as separate work items and check the project’s existing tests after each change. Done means unsafe XML parsing is addressed across all listed modules and the SHA-1 finding has a documented resolution.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
During a security audit of pan-os-python, two findings were identified.
Finding 1: Unsafe XML parser (High)
xml.etree.ElementTree is used across 10 core modules with no defusedxml
replacement or defuse_stdlib() call anywhere in the codebase.
Affected modules:
base.py, firewall.py, network.py, panorama.py, policies.py,
objects.py, ha.py, plugins.py, userid.py, __init__.py
The library's purpose is parsing XML responses from live network devices.
Any attacker-influenced response (MitM, compromised appliance, rogue endpoint)
is processed without XXE or Billion Laughs protection.
Fix: replace import xml.etree.ElementTree as ET with
import defusedxml.ElementTree as ET in each affected module.
Drop-in compatible, no API changes required.
Finding 2: SHA-1 used for value hashing (Medium)
panos/base.py:3172 uses hashlib.sha1() with an inline comment
explicitly documenting the usage. SHA-1 has been cryptographically
broken since 2017.
- Lingua principale
- Python
- Stelle
- 402
- Fork
- 199
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Preparare l'ambiente
Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di PaloAltoNetworks/pan-os-python
-
bug
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 68/100
PaloAltoNetworks/pan-os-python#624 · 1 commento ·
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 25/100
-
documentation
Difficoltà 2/5 1-3 ore Idoneità per principianti 35/100
-
enhancement
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
-
Feature/new log settingsApertaenhancement
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
Tutte le issue di PaloAltoNetworks/pan-os-python
Issue simili
-
priority middle
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 62/100
KATO-Hiro/AtCoderClans#12940 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 76/100
huggingface/huggingface_hub#5283 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
enhancement
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 86/100
ccxt/ccxt#31045 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
bug example
Difficoltà 2/5 1-3 ore Idoneità per principianti 86/100
I maintainer di solito rispondono entro 1 giorno