在 Python 的 HTTP 用戶端 python-urllib3 中發現數個弱點。 

CVE-2018-20060

urllib3 未在進行跨源重新導向 (即主機、連接埠或配置不同的重新導向) 後移除授權 HTTP 標頭。授權標頭中的認證可能因此洩漏給非預期的主機，或以純文字格式傳輸。

CVE-2019-11236

若攻擊者控制了要求參數，就可能執行 CRLF 插入。

CVE-2019-11324

urllib3 未正確處理所需 CA 憑證集不同於 CA 憑證的 OS 存放區的特定情況，進而導致在驗證失敗為正確結果的情況下 SSL 連線成功。這與使用 ssl_context、ca_certs 或 ca_certs_dir 引數相關。

CVE-2020-26137

如果攻擊者控制 HTTP 要求方法，urllib3 允許執行 CRLF 插入，在 putrequest() 的第一個引數中插入 CR 和 LF 控製字元即為一例。

針對 Debian 9 Stretch，已在 1.19.1-1+deb9u1 版本中修正這些問題。

建議您升級 python-urllib3 套件。

如需 python-urllib3 的詳細安全性狀態，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-urllib3

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2686-1：python-urllib3 安全性更新

critical Nessus Plugin ID 150806

版本 1.9