Amazon Linux AMI：python-twisted-web (ALAS-2023-1717)

high Nessus Plugin ID 173953

語系：

概要

遠端 Amazon Linux AMI 主機缺少安全性更新。

說明

因此，它受到 ALAS-2023-1717 公告中所提及的多個弱點影響。

Twisted 是適用於網際網路應用程式的事件型框架，支持 Python 3.6+。在 22.4.0rc1 版之前，位於 `twisted.web.http` 模組中的 Twisted Web HTTP 1.1 伺服器剖析數個 HTTP 要求建構的方式比 RFC 7230 所允許的更寬鬆。如果要求通過多個 HTTP 剖析器，此不一致的剖析會導致不同步，可能會進而造成 HTTP 要求走私。
可能受到影響的使用者使用 Twisted Web 的 HTTP 1.1 伺服器和/或代理伺服器，並透過不同的 HTTP 伺服器和/或代理伺服器傳遞要求。Twisted Web 用戶端不受影響。HTTP 2.0 伺服器使用不同的剖析器，因此不受影響。此問題已在 Twisted 22.4.0rc1 中解決。有兩個可用的因應措施：確保上游代理伺服器中的所有弱點都已解決，例如透過升級；或透過其他方式篩選格式錯誤的要求，例如上游代理伺服器的設定。
(CVE-2022-24801)

- Twisted 是適用於網際網路應用程式的事件型框架。從 0.9.4 版開始，當主機標頭與已設定的主機不符時，「twisted.web.vhost.NameVirtualHost」將傳回可將未逸出的 Host 標頭轉譯為 404 回應的「NoResource」資源，這可以引致 HTML 和指令碼插入。
實際上，利用此弱點應該會非常困難，這是因為若能夠修改正常 HTTP 要求的 Host 標頭，則表示該要求已處於特殊權限位置。此問題已在 22.10.0rc1 版中修正。目前尚無已知的因應措施。 (CVE-2022-39348)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。