RHEL 6/7：python27 (RHSA-2016:1166)
medium Nessus Plugin ID 193823
語言:
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。說明
遠端 Redhat Enterprise Linux 6/7 主機上安裝的套件受到 RHSA-2016:1166 公告中提及的多個弱點影響。Python 是經過解譯的互動式物件導向程式設計語言，支援模組、類別、例外狀況、高階的動態資料類型，以及動態輸入。python27 套件提供穩定的 Python 2.7 版本，內含數個適用於 MySQL 和 PostgreSQL 的額外公用程式和資料庫連接器。
安全性修正：
下列修正已套用至 python 元件：
* Python 標準程式庫 HTTP 用戶端模組 (如 httplib 或 urllib) 在連線至 HTTPS 伺服器時，並未執行 TLS/SSL 憑證的驗證。攔截式攻擊者可利用此缺陷劫持連線，並竊聽或修改傳的輸檔案。(CVE-2014-9365)
注意：Python 標準程式庫已經更新，現可預設啟用憑證驗證。然後，為達到向後相容性，驗證然後預設停用。未來的更新可能會變更此預設。如需進一步瞭解此變更，請參閱〈參照〉一節中的知識庫文章 2039753 連結。(BZ#1311044、BZ#1319774)
下列修正已套用至 python-pymongo 元件：
* 在 Python 的 SSL 模組實作執行特定憑證名稱比對的方式中，發現一個拒絕服務瑕疵。遠端攻擊者若能取得含有多個萬用字元的有效憑證，就可利用此瑕疵發出驗證這類憑證的要求，進而導致 CPU 過度消耗。(CVE-2013-2099)
下列修正已套用至 python-pymongo 和 python-virtualenv 元件：
* 在 Python 的 SSL 模組執行比對含有萬用字元之憑證名稱的方式中發現多個缺陷。遠端攻擊者若能取得含有特定名稱且具有萬用字元的有效憑證，就能夠使得 Python SSL 用戶端錯誤地接受這些名稱，而不遵循 RFC 6125 建議。(CVE-2013-7440)
CVE-2013-2099 問題是由 Florian Weimer (Red Hat 產品安全性團隊) 所發現。
錯誤修正和增強功能：
python27 SoftwareCollection 已更新至較新版本，相較於先前的版本，此版本可提供數個錯誤修正與增強功能。其中包括：
* 已新增 python27-PyYAML 套件，其中包含 Python YAML 模組。PyYAML 是適用於 Python 的 YAML 剖析器和生成器；它適用於從複雜設定檔到物件序列化和持續性的廣泛工作。
* Python Enhancent Proposal 466 中所述的網路安全性增強功能已反向移植至 Python 標準程式庫。舉例來說，安全性增強功能包括 ssl 模組中的新功能，例如伺服器名稱指示 (SNI) 支援，以及新 TLSv1.x 通訊協定的支援、hashlib 模組中的新雜湊演算法等等。
* python27-python-pip 套件已升級至版本 7.1.0。
* python27-python-virtualenv 套件已升級至版本 13.1.0。
* python27-python-pymongo 套件已升級至版本 3.2.1。
(BZ#1301481、BZ#1297784、BZ#1111464、BZ#1319774)
Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
http://www.nessus.org/u?1db040d7
https://access.redhat.com/security/updates/classification/#moderate
https://access.redhat.com/articles/2039753
https://bugzilla.redhat.com/show_bug.cgi?id=963260
https://bugzilla.redhat.com/show_bug.cgi?id=1173041
https://bugzilla.redhat.com/show_bug.cgi?id=1224999
https://bugzilla.redhat.com/show_bug.cgi?id=1266529
https://bugzilla.redhat.com/show_bug.cgi?id=1297783
https://bugzilla.redhat.com/show_bug.cgi?id=1297784
https://bugzilla.redhat.com/show_bug.cgi?id=1318319
https://bugzilla.redhat.com/show_bug.cgi?id=1329141
https://bugzilla.redhat.com/show_bug.cgi?id=1329944
https://bugzilla.redhat.com/show_bug.cgi?id=1330041
Plugin 詳細資訊
嚴重性: Medium
ID: 193823
檔案名稱: redhat-RHSA-2016-1166.nasl
版本: 1.1
類型: local
代理程式: unix
已發布: 2024/4/24
已更新: 2025/3/20
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.6
Vendor
Vendor Severity: Moderate
CVSS v2
風險因素: Medium
基本分數: 4.3
時間性分數: 3.2
媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
CVSS 評分資料來源: CVE-2013-7440
CVSS v3
風險因素: Medium
基本分數: 5.9
時間性分數: 5.2
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:redhat:enterprise_linux:python27-python, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:python27-python-devel, p-cpe:/a:redhat:enterprise_linux:python27-python-docutils, p-cpe:/a:redhat:enterprise_linux:python27-python-virtualenv, p-cpe:/a:redhat:enterprise_linux:python27-python-pymongo-doc, p-cpe:/a:redhat:enterprise_linux:python27-scldevel, p-cpe:/a:redhat:enterprise_linux:python27-scipy, p-cpe:/a:redhat:enterprise_linux:python27-python-pymongo, p-cpe:/a:redhat:enterprise_linux:python27-tkinter, p-cpe:/a:redhat:enterprise_linux:python27-python-pip, p-cpe:/a:redhat:enterprise_linux:python27-python-bson, p-cpe:/a:redhat:enterprise_linux:python27-numpy-f2py, p-cpe:/a:redhat:enterprise_linux:python27-python-tools, p-cpe:/a:redhat:enterprise_linux:python27-python-test, p-cpe:/a:redhat:enterprise_linux:python27-python-libs, p-cpe:/a:redhat:enterprise_linux:python27-pyyaml, p-cpe:/a:redhat:enterprise_linux:python27-numpy, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:python27, p-cpe:/a:redhat:enterprise_linux:python27-python-debug, p-cpe:/a:redhat:enterprise_linux:python27-python-pymongo-gridfs, p-cpe:/a:redhat:enterprise_linux:python27-runtime
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2016/5/31
弱點發布日期: 2013/5/15
參考資訊
CVE: CVE-2013-2099, CVE-2013-7440