Una falla di sicurezza in python e java può bypassare i firewall

Sia Java che Python contengono delle falle di sicurezza non corrette, che se sfruttate, consentono di inviare email senza nessuna autorizzazione e bypassare qualsiasi difesa firewall.
Le falle risiedono nel modo in cui sia Java che Python trattano i link FTP, dei quali non controllano il parametro username (in particolare non controllano se il parametro contiene il carattere “a capo” o “nuova riga”) .
In pratica, al posto del parametro username, vengono inseriti dei comandi non FTP e questi vengon interpretati.

La FTP protocol injection potrebbe essere sfruttata anche per far si che il firewall della vittima accetti connessioni TCP remote verso le porte “alte” dell’host ( dalla 1024 alla 65535 ). Questo perchè i firewall accettano di aprire una porta tra 1024 e 65535 quando si tenta una connessione FTP in modalità classica.
Una volta bypassato il firewall della vittima è possibile ottenere l’indirizzo IP interno della stessa e compromettere quindi lo specifico computer.
Tutto quello che deve fare un hacker dunque è convincere un utente ad accedere ad una applicazione Python o Java che risieda in un qualsiasi server.

Purtroppo al momento non esistono patch.
L’unico consiglio che posso darvi è di disinstallare temporaneamente Java e disabilitare la connessione FTP classica sul vostro firewall!