Debian DLA-2954-1：python-treq - LTS 安全性更新
medium Nessus Plugin ID 159069
語系：
概要
遠端 Debian 主機缺少安全性相關更新。說明
遠端 Debian 9 主機上安裝的多個套件受到 dla-2954 公告中提及的一個弱點影響。- treq 是一個受到要求啟發的 HTTP 程式庫，但在 Twisted 的代理程式之上編寫。Treq 的要求方法 (`treq.get`、`treq.post` 等等) 和 `treq.client.HTTPClient` 建構函式接受 cookie 作為字典。此類 cookie 未系結至單一網域，因此會傳送至 *每個*網域 (supercookie)。這可能會在 HTTP 重新導向至其他網域時造成敏感資訊洩漏。例如，若將 `https://example.com` 重新導向至 `http://cloudstorageprovider.com`，後者將會收到 cookie `session`。Treq 2021.1.0 及更新版本會將提供給要求方法的 cookie (`treq.request`、`treq.get`、`HTTPClient.request`、`HTTPClient.get` 等) 系結至 *url* 參數的來源。建議所有使用者進行升級。對於無法升級的使用者，與其傳送字典作為 *cookies* 引數，不如傳送其中含有正確網域和配置範圍之 cookie 的 `http.cookiejar.CookieJar` 執行個體。(CVE-2022-23607)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級 python-treq 套件。針對 Debian 9「Stretch」，已在 15.1.0-1+deb9u1 版本中修正這些問題。
另請參閱
https://www.debian.org/lts/security/2022/dla-2954
Plugin 詳細資訊
嚴重性: Medium
ID: 159069
檔案名稱: debian_DLA-2954.nasl
版本: 1.3
類型: local
代理程式: unix
已發布: 2022/3/18
已更新: 2024/1/29
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.6
CVSS v2
風險因素: Medium
基本分數: 4.3
時間分數: 3.2
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2022-23607
CVSS v3
風險因素: Medium
基本分數: 6.5
時間分數: 5.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:python-treq, p-cpe:/a:debian:debian_linux:python-treq-doc, p-cpe:/a:debian:debian_linux:python3-treq, cpe:/o:debian:debian_linux:9.0
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2022/3/18
弱點發布日期: 2022/2/1
參考資訊
CVE: CVE-2022-23607