Seth Larson: str.lower() als Sicherheitslücke in Python

When str.lower() is a security vulnerability in Python – Seth Larson

Seth Larson zeigt, wie eine unscheinbare Python-Funktion zu einer Sicherheitslücke werden kann: str.lower() verwendet die Unicode-Version des jeweiligen Interpreters, während der IDNA-2003-Standard auf Unicode 3.2.0 basiert. Diese Diskrepanz führte zu falschen Domain-Encodings und damit zu potenziellen Sicherheitsproblemen. Der Artikel erklärt die Hintergründe, wie der Fehler entdeckt wurde und wie er durch neue Ausnahmen behoben wurde, sodass IDNA 2003 wieder spezifikationskonform arbeitet.