FreeBSD: python 3.6 -- 複数の脆弱性（18ed9650-a1d6-11e9-9b17-fcaa147e860e）

critical Nessus プラグイン ID 126534

Language:

概要

リモートのFreeBSDホストに、セキュリティ関連の更新プログラムがありません。

説明

Pythonの変更ログ:

bpo-35907: CVE-2019-9948: urllib.requestのURLopener().open()およびURLopener().retrieve()でURLスキームlocal-file://およびlocal_file://を禁止して、ファイルの読み取りを回避します。

bpo-36742: urlsplit()での正規化前の文字の不適切な処理を修正します。

bpo-30458: に対処するため、空白または制御文字が埋め込まれたURLパスを下層のhttpクライアントリクエストに許可しないことで、CVE-2019-9740に対処します。このような潜在的に悪意のあるヘッダーインジェクションURLにより、http.client.InvalidURL例外が発生します。

bpo-36216: IDNAエンコード（NFKC正規化）で、URLに含まれている文字が、URLの解析方法に影響する文字に分解される場合にValueError発生させるように、urlsplit()を変更します。

bpo-33529: ヘッダーに含まれている非ASCII文字が多過ぎる場合に、電子メールヘッダーエンコーディングで使用されているfold関数が無限ループに入らないようにします。

bpo-35121: http.cookiejar.DefaultCookiePolicyポリシーでcookiejarを使用しており、ドメインAがドメインBのドメインAのサフィックス一致である場合は、Domain属性のないドメインAのCookieをドメインBに送信しません。Karthikeyan Singaravelan氏によるパッチ。