リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 0850アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-requests：HTTPSからHTTPにリダイレクトしてもAuthorizationヘッダーが削除されない（CVE-2018-18074）

  - python-urllib3: クロスホストリダイレクトでAuthorizationヘッダーが削除されないため資格情報が公開される（CVE-2018-20060）

  - python-urllib3: 「\r\n」シーケンスをエンコードしないことによるCRLFインジェクションにより、内部サービスへの攻撃が発生する可能性（CVE-2019-11236）

  - python-urllib3: エラーが発行されるときの証明書の不適切処理（CVE-2019-11324）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 7: python-pip（RHSA-2020: 0850)

critical Nessus プラグイン ID 134826

バージョン 1.8