リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、16.1.0 です。したがって、K57542514 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Python 2.7.xから 2.7.16および 3.xから 3.7.2は、以下の影響を受けます。NFKC正規化中のUnicodeエンコード (誤ったnetlocを使用) の不適切な処理の影響。影響は次のとおりです。情報漏洩 (特定のホスト名に対してキャッシュされている資格情報やCookieなど) 。コンポーネントは次のとおりです。urllib.parse.urlsplit, urllib.parse.urlparse 攻撃ベクトルは次のとおりです。特別に細工されたURLが誤って解析されてCookieまたは認証データの場所を特定し、その情報が正しく解析された場合とは異なるホストに送信される可能性があります。
    これは以下で修正されます。v2.7.17、v2.7.17rc1、v2.7.18、v2.7.18rc1。v3.5.10、v3.5.10rc1、v3.5.7、v3.5.8、v3.5.8rc1、v3.5.8rc2、v3.5.9。v3.6.10、v3.6.10rc1、v3.6.11、v3.6.11rc1、v3.6.12、v3.6.9、v3.6.9rc1。
    v3.7.3、v3.7.3rc1、v3.7.4、v3.7.4rc1、v3.7.4rc2、v3.7.5、v3.7.5rc1、v3.7.6、v3.7.6rc1、v3.7.7、v3.7.7rc1、v3.7.8、v3.7.8rc1、v3.7.9。(CVE-2019-9636)

  - コミット d537ab0ff9767ef024f26246899728f0116b1ec3 以降の python に CVE-2019-9636 のセキュリティ回帰が見つかりました。これは、バージョン 2.7、3.5、3.6、3.7 および v3.8.0a4 ～ v3.8.0b1 に影響を与え、攻撃者が CVE-2019-9636を悪用して、URL のユーザー部分とパスワード部分を乱用する可能性があります。アプリケーションがCookie、認証資格情報、またはその他の種類の情報を格納するためにユーザー指定のURLを解析するとき、攻撃者が特別に細工したURLを提供してアプリケーションにホスト関連情報 (Cookie、認証データなど) を発見させて送信させる可能性があります。URLが正しく解析されている場合とは異なり、それらは本来の場所とは異なるホストに転送されます。攻撃の結果はアプリケーションによって異なります。(CVE-2019-10160)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

F5 Networks BIG-IP：Python の脆弱性 (K57542514)

critical Nessus プラグイン ID 151496

バージョン 1.6