遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2019: 3335 公告中提及的多個弱點影響。

  - python-urllib3：因為未編碼「\r\n」序列造成 CRLF 插入，進而導致可能的內部服務攻擊 (CVE-2019-11236)

  - python-urllib3：應擲回錯誤時發生憑證不當處理 (CVE-2019-11324)

  - numpy：在 pickle python 模組的 numpy.load() 中傳遞的特製序列化物件允許任意程式碼執行 (CVE-2019-6446)

  - python：透過傳遞至 urlopen() 的 URL 查詢部分插入 CRLF (CVE-2019-9740)

  - python：透過傳遞至 urlopen() 的 URL 路徑部分插入 CRLF (CVE-2019-9947)

  - python：未記載的 local_file 通訊協定可讓遠端攻擊者繞過保護機制 (CVE-2019-9948)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

CentOS 8：python27：2.7 (CESA-2019: 3335)

critical Nessus Plugin ID 145618

版本 1.4