d537ab0ff9767ef024f26246899728f0116b1ec3をコミットして以来、pythonでCVE-2019-9636のセキュリティリグレッションが見つかりました。これにより、攻撃者は依然としてURLのユーザー部分とパスワード部分を濫用することでCVE-2019-9636を悪用する可能性があります。アプリケーションがCookie、認証資格情報、またはその他の種類の情報を格納するためにユーザー指定のURLを解析するとき、攻撃者が特別に細工したURLを提供してアプリケーションにホスト関連情報（Cookie、認証データなど）を見つけさせて送信させる可能性があります。URLが正しく解析されている場合とは異なり、それらは本来の場所とは異なるホストに転送されます。攻撃の結果はアプリケーションによって異なります。（CVE-2019-10160）Python 2.xから2.7.16のurllibはlocal_file：スキームをサポートしています。これにより、リモートの攻撃者がファイルをブラックリストに掲載する保護メカニズムをバイパスしやすくなります。urllib.urlopen('local_file:///etc/passwd')呼び出しをトリガーすることによって示されるURI。（CVE-2019-9948）

検出

Amazon Linux AMI：python27（ALAS-2019-1258）

critical Nessus プラグイン ID 127814

変更ログが見つかりません