MiracleLinux 7python-pip-9.0.3-8.0.1.el7.AXS7 (AXSA:2024-8982:05)
medium Nessus Plugin ID 291824
語言:
概要
遠端 MiracleLinux 主機缺少安全性更新。說明
遠端 MiracleLinux 7 主機已安裝一個受到 AXSA:2024-8982:05 公告中所提及的弱點影響的套件。* CVE-2024-37891重新導向時去除 Proxy-Authorization 標頭 CVE(s)
CVE-2024-37891 urllib3 是易用的 Python 版 HTTP 用戶端程式庫。以 `ProxyManager` 使用 urllib3 的 Proxy 支援時，`Proxy-Authorization` 標頭只會如預期傳送至設定的 Proxy。
但是，在*不*使用 urllib3 Proxy 支援的情況下傳送 HTTP 要求時，可能會意外設定 `Proxy-Authorization` 標頭，即使因為要求未使用轉送 Proxy 或通道 Proxy 而不會產生任何影響，也是如此。在這些情況下，urllib3 不會將 `Proxy-Authorization` HTTP 標頭視為攜帶驗證資料的標頭，因此不會去除跨來源重新導向的標頭。由於這是極不可能發生的狀況，因此我們認為對於幾乎所有使用者而言，此弱點的嚴重性較低。謹慎起見，urllib3 會在跨來源重新導向期間自動去除 `Proxy-Authorization` 標頭，以避免使用者意外這樣做 (雖然可能性很小)。使用者應使用 urllib3 的 proxy 支援或停用自動重新導向，以安全處理 `Proxy-Authorization` 標頭，但我們仍決定預設去除標頭，以進一步保護未使用正確方法的使用者。我們認為，受此公告影響的使用情況較少。要惡意利用此弱點，必須符合下列所有條件：1. 設定 `Proxy-Authorization` 標頭，而不使用 urllib3 的內建 proxy 支援。2. 未停用 HTTP 重新導向。3. 未使用 HTTPS 原始伺服器，或是 proxy 或目標來源重新導向至惡意來源。建議使用者更新至 1.26.19 版或 2.2.2 版。無法升級的使用者可以使用具有 urllib3 之 `ProxyManager` 的 `Proxy-Authorization` 標頭、在傳送要求時停用使用 `redirects=False` 的 HTTP 重新導向或不使用 `Proxy-Authorization` 標頭作為緩解措施。
Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的 python3-pip 套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 291824
檔案名稱: miracle_linux_AXSA-2024-8982.nasl
版本: 1.1
類型: local
已發布: 2026/1/20
已更新: 2026/1/20
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
Vendor
Vendor Severity: Moderate
CVSS v2
風險因素: Medium
基本分數: 6.8
時間性分數: 5.3
媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:N/A:N
CVSS 評分資料來源: CVE-2024-37891
CVSS v3
風險因素: Medium
基本分數: 6.5
時間性分數: 5.9
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:miracle:linux:python3-pip, cpe:/o:miracle:linux:7
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2024/11/12
弱點發布日期: 2024/6/17
參考資訊
CVE: CVE-2024-37891