遠端 Oracle Linux 7 主機上安裝的套件受到 ELSA-2020-1091 公告中提及的弱點影響。

  - 在 Twisted 19.2.1 之前版本中，twisted.web 未驗證或清理 URI 或 HTTP 方法，攻擊者可藉此插入 CRLF 等無效字元。(CVE-2019-12387)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

據發現，Twisted 未正確驗證或清理某些 URI 或 HTTP 方法。遠端攻擊者可利用此問題插入無效字元，並可能執行標頭插入攻擊。(CVE-2019-12387)

據發現，Twisted 未正確驗證 XMPP TLS 憑證。遠端攻擊者可能利用此問題展開攔截式攻擊並取得敏感資訊。
(CVE-2019-12855)

據發現，Twisted 未正確處理 HTTP/2 連接。
遠端攻擊者可能會利用此問題造成 Twisted 懸置或消耗資源，進而導致拒絕服務。此問題僅影響 Ubuntu 18.04 LTS 和 Ubuntu 19.10。(CVE-2019-9512、CVE-2019-9514、CVE-2019-9515)

Jake Miller 和 ZeddYu Lu 發現 Twisted 未正確處理某些內容長度標頭。遠端攻擊者可能利用此問題，發動 HTTP 要求分割攻擊。(CVE-2020-10108、CVE-2020-10109)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2019: 3172 公告中提及的多個弱點影響。

  - python-werkzeug：debug/tbtools.py 的 render_full 函式中的跨網站指令碼 (CVE-2016-10516)

  - python-jinja2：透過 str.format 的資訊洩露導致的沙箱逸出 (CVE-2016-10745)

  - dom4j：類別中的 XML 插入：Element 中存在 CWE-91: XML 插入弱點。方法：可影響 XML 文件完整性的 addElement、addAttribute (CVE-2018-1000632)

  - rubygem-rack：多部分剖析器中的緩衝區大小允許發生拒絕服務 (CVE-2018-16470)

  - foreman：foreman-tasks 中的授權繞過可導致資訊洩漏 (CVE-2019-10198)

  - python-jinja2：str.format_map 允許沙箱逸出 (CVE-2019-10906)

  - python-twisted：未正確中和 URI 和 HTTP 方法中的 CRLF 字元 (CVE-2019-12387)

  - katello：在存放庫探索期間，以純文字擷取登錄檔憑證 (CVE-2019-14825)

  - foreman：恢復計算資源的純文字密碼或 token (CVE-2019-3893)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 1091 公告中提及的弱點影響。

  - python-twisted：未正確中和 URI 和 HTTP 方法中的 CRLF 字元 (CVE-2019-12387)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機上安裝的 python-twisted-web 套件受到多個弱點影響：

  - 在 Twisted 19.2.1 之前版本中，twisted.web 未驗證或清理 URI 或 HTTP 方法，攻擊者可藉此插入 CRLF 等無效字元。(CVE-2019-12387)

  - 在 Twisted Web 19.10.0 之前版本中，有一個 HTTP 要求分割弱點。當與兩個內容長度標頭一起呈現時，它會忽略第一個標頭。當第二個內容長度值設為零時，要求內文會被解譯為管線要求。(CVE-2020-10108)

  - 在 Twisted Web 19.10.0 之前版本中，有一個 HTTP 要求分割弱點。當與 content-length 和區塊編碼標頭一起呈現時，content-length 優先，且要求內文的其餘部分解譯為管線要求。(CVE-2020-10109)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

* python-twisted：未正確中和 URI 和 HTTP 方法中的 CRLF 字元

執行 CORE 5.05 / MAIN 5.05 版的遠端 NewStart CGSL 主機上安裝的 python-twisted-web 套件受到多個弱點影響：

  - 在 Twisted 19.2.1 之前版本中，twisted.web 未驗證或清理 URI 或 HTTP 方法，攻擊者可藉此插入 CRLF 等無效字元。(CVE-2019-12387)

  - 在 Twisted Web 19.10.0 之前版本中，有一個 HTTP 要求分割弱點。當與兩個內容長度標頭一起呈現時，它會忽略第一個標頭。當第二個內容長度值設為零時，要求內文會被解譯為管線要求。(CVE-2020-10108)

  - 在 Twisted Web 19.10.0 之前版本中，有一個 HTTP 要求分割弱點。當與 content-length 和區塊編碼標頭一起呈現時，content-length 優先，且要求內文的其餘部分解譯為管線要求。(CVE-2020-10109)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
180658	Oracle Linux 7：python-twisted-web (ELSA-2020-1091)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	medium
134758	Ubuntu 16.04 LTS / 18.04 LTS：Twisted 弱點 (USN-4308-1)	Nessus	Ubuntu Local Security Checks	2020/3/20	2023/10/20	critical
130187	RHEL 7：Red Hat Satellite 6 (RHSA-2019: 3172)	Nessus	Red Hat Local Security Checks	2019/10/24	2024/4/27	high
135055	RHEL 7：python-twisted-web (RHSA-2020: 1091)	Nessus	Red Hat Local Security Checks	2020/4/1	2024/4/27	medium
144086	NewStart CGSL CORE 5.04 / MAIN 5.04：python-twisted-web 多個弱點 (NS-SA-2020-0078)	Nessus	NewStart CGSL Local Security Checks	2020/12/11	2024/2/2	critical
135832	Scientific Linux 安全性更新：SL7.x x86_64 上的 python-twisted-web (20200407)	Nessus	Scientific Linux Local Security Checks	2020/4/21	2024/3/15	medium
143976	NewStart CGSL CORE 5.05 / MAIN 5.05：python-twisted-web 多個弱點 (NS-SA-2020-0118)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2024/2/5	critical
135335	CentOS 7：python-twisted-web (CESA-2020: 1091)	Nessus	CentOS Local Security Checks	2020/4/10	2024/3/19	medium

偵測

搜尋 Plugin

medium

critical

high

medium

critical

medium

critical

medium