FreeBSD: python 3.7 -- 複数の脆弱性(a449c604-a43a-11e9-b422-fcaa147e860e)

critical Nessus プラグイン ID 126667

Language:

概要

リモートのFreeBSDホストに、セキュリティ関連の更新プログラムがありません。

説明

Pythonの変更ログ:

bpo-37463: ssl.match_hostname()は、アドレスの後に追加テキストがあるIPv4アドレスを受け入れず、末尾に空白のない4分割ドット表記のIPアドレスのみを受け入れます。一部のinet_aton()実装は、空白および空白より後のすべてのデータを無視します(例:「127.0.0.1 whatever」)。

bpo-35907: CVE-2019-9948: urllib.requestのURLopener().open()およびURLopener().retrieve()でURLスキームlocal-file://およびlocal_file://を禁止して、ファイルの読み取りを回避します。

bpo-36742: urlsplit()での正規化前の文字の不適切な処理を修正します。

bpo-30458: に対処するため、空白または制御文字が埋め込まれたURLパスを下層のhttpクライアントリクエストに許可しないことで、CVE-2019-9740に対処します。このような潜在的に悪意のあるヘッダーインジェクションURLにより、http.client.InvalidURL例外が発生します。

bpo-33529: ヘッダーに含まれている非ASCII文字が多過ぎる場合に、電子メールヘッダーエンコーディングで使用されているfold関数が無限ループに入らないようにします。

bpo-35755: os.confstr(「CS_PATH」)が使用可能であり、PATH環境変数が設定されていない場合に、shutil.which()はos.confstr(「CS_PATH」)を使用するようになりました。posixpath.defpathから現行ディレクトリも削除します。Unixでは、PATH環境変数が設定されていない場合、shutil.which()とサブプロセスモジュールは、現行ディレクトリ内で実行可能ファイルを検索しません。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

https://docs.python.org/3.7/whatsnew/changelog.html#python-3-7-4-final

http://www.nessus.org/u?7be70c19

プラグインの詳細

深刻度: Critical

ID: 126667

ファイル名: freebsd_pkg_a449c604a43a11e9b422fcaa147e860e.nasl

バージョン: 1.2

タイプ: local

公開日: 2019/7/15

更新日: 2020/1/8

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.0

CVSS v2

リスクファクター: Medium

Base Score: 6.4

Temporal Score: 4.7

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N

CVSS v3

リスクファクター: Critical

Base Score: 9.1

Temporal Score: 7.9

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:freebsd:freebsd:python37, cpe:/o:freebsd:freebsd

必要な KB アイテム: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2019/7/12

脆弱性公開日: 2019/3/13

参照情報

CVE: CVE-2019-9740, CVE-2019-9948