Khi str.lower() trở thành lỗ hổng bảo mật trong Python

Phát hiện mới từ nhà phát triển bảo mật Python Seth Larson đã chỉ ra rằng việc sử dụng hàm str.lower() để triển khai chuẩn IDNA 2003 có thể tạo ra lỗ hổng bảo mật nghiêm trọng. Nguyên nhân đến từ sự không nhất quán giữa phiên bản Unicode mà Python sử dụng và phiên bản Unicode 3.2.0 mà đặc tả StringPrep yêu cầu, dẫn đến hành vi khác nhau khi xử lý một số ký tự đặc biệt.

Lỗ hổng này đã được vá trong CVE-2026-17084, và là lời nhắc nhở quan trọng cho cộng đồng lập trình viên về việc tuân thủ đúng chuẩn khi xử lý dữ liệu Unicode, đặc biệt trong các hệ thống liên quan đến tên miền và xác thực.

Bối cảnh: IDNA và StringPrep

Internet ban đầu chỉ hỗ trợ bảng chữ cái Latin ASCII, nhưng thế giới thực sử dụng nhiều hệ thống chữ viết khác nhau. Để giải quyết vấn đề này, chuẩn IDNA (Internationalizing Domain Names in Applications) được tạo ra, cho phép tên miền chứa các ký tự Unicode. Cụ thể:

• IDNA 2003 (RFC 3491) dựa trên StringPrep (RFC 3454)
• IDNA 2008 (RFC 5890-5893) là phiên bản mới hơn, khắc phục nhiều hạn chế

Python hỗ trợ cả hai phiên bản: codec idna cho IDNA 2003 và package idna từ PyPI cho IDNA 2008. Các chuyên gia khuyến cáo nên dùng package idna thay vì .encode("idna") trong hầu hết trường hợp.

Vấn đề: Unicode version mismatch

StringPrep định nghĩa bước case folding (xấp xỉ việc chuyển đổi chữ hoa/thường) dựa trên bảng Unicode 3.2.0. Tuy nhiên, Python không cố định phiên bản Unicode:

import unicodedata
print(unicodedata.unidata_version)

Mỗi bản phát hành Python có thể đi kèm phiên bản Unicode khác nhau, dẫn đến hành vi str.lower() không khớp với đặc tả IDNA 2003. Điều này có nghĩa là:

• So sánh tên miền không nhất quán giữa các hệ thống
• Có thể bỏ qua các ký tự đặc biệt khi kiểm tra tính hợp lệ
• Tấn công phishing dễ dàng hơn khi kẻ xấu tạo ra tên miền giả mạo

Giải pháp từ Python Software Foundation

Đội ngũ bảo mật đã phát triển cách xử lý đặc biệt: duyệt qua từng codepoint Unicode, so sánh hành vi str.lower() giữa phiên bản Unicode hiện tại của Python và Unicode 3.2.0, sau đó tạo ra các ngoại lệ để hàm hoạt động đúng theo chuẩn cũ.

# Ví dụ minh họa cách phát hiện sự khác biệt
import unicodedata

def find_differences():
    for cp in range(0x110000):
        char = chr(cp)
        lower_new = char.lower()
        lower_old = unicodedata.ucd_3_2_0.decomposition(char)  # minh họa
        # So sánh và ghi nhận khác biệt

Lỗ hổng này đã được vá trong CVE-2026-17084, với sự đóng góp từ Bitshift, Stan Ulbrych, Marc-Andre Lemburg và Petr Viktorin.

Bài học cho lập trình viên Việt Nam

Với sự phát triển mạnh mẽ của các ứng dụng web và dịch vụ trực tuyến tại Việt Nam, việc xử lý tên miền tiếng Việt (có dấu) ngày càng phổ biến. Bài học quan trọng:

• Luôn sử dụng package idna mới nhất thay vì codec cũ của Python
• Cập nhật Python thường xuyên để nhận các bản vá bảo mật
• Kiểm tra kỹ logic xử lý chuỗi khi triển khai các giao thức liên quan đến Unicode

"Sự khác biệt nhỏ trong cách xử lý Unicode có thể tạo ra lỗ hổng lớn trong hệ thống xác thực và tên miền."

Bài viết này nhấn mạnh rằng ngay cả những hàm tưởng chừng đơn giản như str.lower() cũng có thể trở thành điểm yếu bảo mật nếu không hiểu rõ ngữ cảnh và đặc tả giao thức. Cộng đồng lập trình Python tại Việt Nam cần nắm bắt những kiến thức này để xây dựng hệ thống an toàn hơn.