Amazon Linux AMI:python34 (ALAS-2019-1324)

critical Nessus Plugin ID 131244
新推出!Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 Amazon Linux AMI 主機缺少一個安全性更新。

描述

自確認 d537ab0ff9767ef024f26246899728f0116b1ec3 以來,在 python 中發現 CVE-2019-9636 安全性迴歸問題,它仍然允許攻擊者透過濫用 URL 使用者和密碼部分來惡意利用 CVE-2019-9636。應用程式剖析使用者提供的 URL 來儲存 cookie、驗證認證或其他類資訊時,有可能使攻擊者提供特製 URL 讓應用程式找到主機相關資訊 (例如,cookie 和驗證資料) 並將它們傳送至不同於正確主機的主機,除非 URL 已經過正確剖析。攻擊的結果可能因應用程式而有不同。(CVE-2019-10160) 在 Python 2.7.16 及之前 2.x 中的 urllib2 和 Python 3.7.3 及之前 3.x 中的 urllib 內發現一個問題。若攻擊者控制了 url 參數便可能發生 CRLF 插入,具有 \r\n 的 urllib.request.urlopen 首位引數 (特別是在 ? 字元後的查詢字串中),隨後是 HTTP 標頭或 Redis 命令即為一例。(CVE-2019-9740) Python 2.7.16 及之前 2.x 中的 urllib 支援 local_file: scheme,這讓遠端攻擊者更容易繞過黑名單檔案:URI 的保護機制,觸發 urllib.urlopen(「local_file:///etc/passwd」) 呼叫即為一例。(CVE-2019-9948) 在 Python 2.7.16 及之前 2.x 中的 urllib2 和 Python 3.7.3 及之前 3.x 中的 urllib 內發現一個問題。若攻擊者控制了 url 參數便可能發生 CRLF 插入,具有 \r\n 的 urllib.request.urlopen 首位引數 (特別是缺少 ? 字元的 URL 路徑元件中),隨後是 HTTP 標頭或 Redis 命令即為一例。此問題與 CVE-2019-9740 的查詢字串問題類似。(CVE-2019-9947) 在 Python 2.7.16 及之前版本、3.5.7 及之前 3.5.x、3.6.9 及之前 3.6.x、3.7.4 及之前 3.7.x 中發現一個問題。電子郵件模組未正確剖析含有多個 @ 字元的電子郵件位址。使用該電子郵件模組並在訊息的 From/To 標頭上實作某種檢查的應用程式可能會遭到誘騙,而接受應拒絕的電子郵件位址。攻擊可能與 CVE-2019-11340 中的攻擊相同;但是此 CVE 適用於 Python 的範圍更廣。(CVE-2019-16056) Python 2.7.16 及之前 2.7.x 還有 3.7.2 及之前 3.x 受到下列影響:在 NFKC 正規化期間不當處理 Unicode 編碼 (具有錯誤的 netloc)。影響為:資訊洩漏 (針對給定主機名稱快取的認證、cookie 等)。元件為:urllib.parse.urlsplit、urllib.parse.urlparse。攻擊媒介為:可藉由未正確剖析的特製 URL 找到 cookie 或驗證資料,並將該資訊傳送至與正確剖析時不同的主機。(CVE-2019-9636)

解決方案

執行「yum update python34」以更新系統。

另請參閱

https://alas.aws.amazon.com/ALAS-2019-1324.html

Plugin 詳細資訊

嚴重性: Critical

ID: 131244

檔案名稱: ala_ALAS-2019-1324.nasl

版本: 1.2

類型: local

代理程式: unix

已發布: 2019/11/25

已更新: 2019/12/9

相依性: ssh_get_info.nasl

風險資訊

CVSS 評分資料來源: CVE-2019-9948

VPR

風險因素: High

分數: 8.4

CVSS v2

風險因素: Medium

基本分數: 6.4

時間分數: 4.7

媒介: AV:N/AC:L/Au:N/C:P/I:P/A:N

時間媒介: E:U/RL:OF/RC:C

CVSS v3

風險因素: Critical

基本分數: 9.1

時間分數: 7.9

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

時間媒介: E:U/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:amazon:linux:python34, p-cpe:/a:amazon:linux:python34-debuginfo, p-cpe:/a:amazon:linux:python34-devel, p-cpe:/a:amazon:linux:python34-libs, p-cpe:/a:amazon:linux:python34-test, p-cpe:/a:amazon:linux:python34-tools, cpe:/o:amazon:linux

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2019/11/22

弱點發布日期: 2019/3/8

參考資訊

CVE: CVE-2019-10160, CVE-2019-16056, CVE-2019-9636, CVE-2019-9740, CVE-2019-9947, CVE-2019-9948

ALAS: 2019-1324