Debian DLA-2280-1：python3.5 安全性更新
critical Nessus Plugin ID 138529
語系：
概要
遠端 Debian 主機缺少一個安全性更新。說明
在 Python (一種互動式高階物件導向語言) 中發現多個安全性問題。CVE-2018-20406
Modules/_pickle.c 會發生整數溢位問題，這是因為在「調整到兩倍大小」嘗試期間錯誤處理大型 LONG_BINPUT 值造成。
此問題可能會造成記憶體耗盡，但是只有在 pickle 格式用於序列化數十或數百 GB 資料時才有意義。
CVE-2018-20852
Lib/http/cookiejar.py 中的 http.cookiejar.DefaultPolicy.domain_return_ok 未正確驗證網域：它可能會遭誘騙而將現有的 Cookie 傳送至錯誤的伺服器。攻擊者可以透過使用主機名稱帶有另一個有效主機名稱作為尾碼的伺服器來濫用此缺陷 (例如，pythonicexample.com 竊取 example.com 的 Cookie)。
當某個程式使用 http.cookiejar.DefaultPolicy，並嘗試進行 HTTP 連線至攻擊者控制的伺服器時，可以將現有的 Cookie 洩漏給攻擊者。
CVE-2019-5010
X509 憑證剖析器中有一個可遭惡意利用的拒絕服務弱點。特製的 X509 憑證可造成 NULL 指標解除參照，進而導致拒絕服務。攻擊者可使用特製的憑證來初始化或接受 TLS 連線，以觸發此弱點。
CVE-2019-9636
在 NFKC 正規化期間不當處理 Unicode 編碼 (具有錯誤的 netloc)。影響為：資訊洩漏 (針對給定主機名稱快取的認證、cookie 等)。
元件為：urllib.parse.urlsplit、urllib.parse.urlparse。攻擊媒介為：可藉由未正確剖析的特製 URL 找到 cookie 或驗證資料，並將該資訊傳送至與正確剖析時不同的主機。
CVE-2019-9740
在 urllib2 中發現一個問題。若攻擊者控制了 url 參數便可能發生 CRLF 插入，具有 \r\n 且後接 HTTP 標頭或 Redis 命令的 urllib.request.urlopen 首位引數 (特別是在 ? 字元後的查詢字串中) 即為一例。
CVE-2019-9947
在 urllib2 中發現一個問題。若攻擊者控制了 url 參數便可能發生 CRLF 插入，具有 \r\n 且後接 HTTP 標頭或 Redis 命令的 urllib.request.urlopen 首位引數 (特別是在缺少 ? 字元之 URL 的 path 元件中) 即為一例。此問題與 CVE-2019-9740 的查詢字串問題類似。
CVE-2019-9948
urllib 支援 local_file: scheme，這讓遠端攻擊者更容易繞過將檔案：
URI 列入黑名單的保護機制，觸發 urllib.urlopen('local_file: ///etc/passwd') 呼叫即為一例。
CVE-2019-10160
在 python 中發現一個安全性迴歸問題，其仍然允許攻擊者透過濫用 URL 的使用者和密碼部分，來攻擊 CVE-2019-9636。應用程式剖析使用者提供的 URL 來儲存 cookie、驗證認證或其他類資訊時，有可能使攻擊者提供特製 URL 讓應用程式找到主機相關資訊 (例如，cookie 和驗證資料) 並將它們傳送至不同於正確主機的主機，除非 URL 已經過正確剖析。攻擊的結果可能因應用程式而有不同。
CVE-2019-16056
電子郵件模組錯誤剖析包含多個 @ 字元的電子郵件地址。使用電子郵件模組並在郵件的「寄件者/收件者」標頭上實作某種檢查的應用程式可能會被誘騙，並接受應該拒絕的電子郵件地址。攻擊可能與 CVE-2019-11340 中的攻擊相同；但是此 CVE 適用於 Python 的範圍更廣。
CVE-2019-16935
文件 XML-RPC 伺服器可透過 server_title 欄位發生 XSS。
Lib/xmlrpc/server.py 中會發生此問題。如果使用未受信任的輸入呼叫 set_server_title，則可以將任意 JavaScript 傳遞至造訪此伺服器之 http URL 的用戶端。
CVE-2019-18348
在 urllib2 中發現一個問題。若攻擊者控制了 url 參數便可能發生 CRLF 插入，具有 \r\n 且後接 HTTP 標頭的 urllib.request.urlopen 首位引數 (特別是在 URL 的 host 元件中) 即為一例。此問題與 CVE-2019-9740 的查詢字串問題和 CVE-2019-9947 的路徑字串問題類似
CVE-2020-8492
Python 允許 HTTP 伺服器對用戶端發動規則運算式拒絕服務 (ReDoS) 攻擊，這是因為 urllib.request.AbstractBasicAuthHandler 會發生災難性回溯。
CVE-2020-14422
Lib/ipaddress.py 會錯誤計算 IPv4Interface 和 IPv6Interface 類別中的雜湊值，如果應用程式受到包含 IPv4Interface 或 IPv6Interface 物件的字典效能影響，則遠端攻擊者可藉此造成拒絕服務，並且此攻擊者還可造成許多字典項目被建立。
針對 Debian 9「Stretch」，已在 3.5.3-1+deb9u2 版本中修正這些問題。
建議您升級 python3.5 套件。
如需有關 python3.5 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python3.5
注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。
解決方案
升級受影響的套件。另請參閱
https://lists.debian.org/debian-lts-announce/2020/07/msg00011.html
https://packages.debian.org/source/stretch/python3.5
https://security-tracker.debian.org/tracker/source-package/python3.5
Plugin 詳細資訊
嚴重性: Critical
ID: 138529
檔案名稱: debian_DLA-2280.nasl
版本: 1.6
類型: local
代理程式: unix
已發布: 2020/7/16
已更新: 2024/3/1
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Medium
基本分數: 6.4
時間分數: 5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: CVE-2019-9948
CVSS v3
風險因素: Critical
基本分數: 9.8
時間分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2019-9636
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:idle-python3.5, p-cpe:/a:debian:debian_linux:libpython3.5, p-cpe:/a:debian:debian_linux:libpython3.5-dbg, p-cpe:/a:debian:debian_linux:libpython3.5-dev, p-cpe:/a:debian:debian_linux:libpython3.5-minimal, p-cpe:/a:debian:debian_linux:libpython3.5-stdlib, p-cpe:/a:debian:debian_linux:libpython3.5-testsuite, p-cpe:/a:debian:debian_linux:python3.5, p-cpe:/a:debian:debian_linux:python3.5-dbg, p-cpe:/a:debian:debian_linux:python3.5-dev, p-cpe:/a:debian:debian_linux:python3.5-doc, p-cpe:/a:debian:debian_linux:python3.5-examples, p-cpe:/a:debian:debian_linux:python3.5-minimal, p-cpe:/a:debian:debian_linux:python3.5-venv, cpe:/o:debian:debian_linux:9.0
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2020/7/15
弱點發布日期: 2018/12/23
參考資訊
CVE: CVE-2018-20406, CVE-2018-20852, CVE-2019-10160, CVE-2019-16056, CVE-2019-16935, CVE-2019-18348, CVE-2019-5010, CVE-2019-9636, CVE-2019-9740, CVE-2019-9947, CVE-2019-9948, CVE-2020-14422, CVE-2020-8492
IAVA: 2020-A-0340-S