关键信息 漏洞概述 漏洞名称: Improper Encoding or Escaping of Output and Improper Null Termination in python-ldap CVE ID: CVE-2025-6102 严重性: 低 影响版本 受影响的包: python-ldap (PyPI) 受影响的版本: <= 3.4.4 修复版本: 无 漏洞描述 问题函数: 文件: Lib/ldap/dn.py 错误行为: 对于空字符 ，函数错误地输出一个反斜杠后跟一个字面空字符，而不是RFC 4514规定的 形式。这会导致使用该函数构建DN的应用程序在发送请求到LDAP服务器前一致失败。 影响 类型: 客户端侧拒绝服务 影响范围: 使用 从（部分）不受信任的输入构建DN的任何应用程序，如用户创建/重命名用户名、同步/ETL作业、允许自助服务属性、设备注册、批量导入等。 攻击者控制的值: 包含空字符 的输入可以可靠地强制异常/失败，并可能导致处理器崩溃或用毒记录堵塞管道。 PoC 前提条件: 任何python-ldap安装和可访问的LDAP服务器。 示例代码: 提供了包含空字符和正确十六进制转义的示例代码，展示了客户端侧DoS和服务器端行为。 标准与修复建议 标准: RFC 4514要求特殊字符和控制字符使用十六进制形式转义；字面空字符不是有效的DN字符。 最小修复: 将空字符转义为十六进制形式：