リモートの Redhat Enterprise Linux 6/7 ホストにインストールされているパッケージは、RHSA-2020: 4285 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python: server_titleフィールドのドキュメントXML-RPCサーバーのXSS脆弱性（CVE-2019-16935）

  - python: urlopen() に渡される URL のホスト部分を介した CRLF インジェクション (CVE-2019-18348)

  - python: 細工されたTARアーカイブによるtarfileモジュールの無限ループ（CVE-2019-20907）

  - python-pip: src/pip/_internal/download.pyの_download_http_url()関数におけるディレクトリトラバーサル (CVE-2019-20916)

  - python: IPv{4,6}Interfaceクラスの非効率性によるDoS（CVE-2020-14422）

  - python: httplib/http.clientにおけるHTTPリクエストメソッドによるCRLFインジェクション（CVE-2020-26116）

  - python: urllib.request.AbstractBasicAuthHandlerの誤ったバックトラックにより、ReDoSが発生する可能性があります（CVE-2020-8492）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 6/7: rh-python36 (RHSA-2020: 4285)

high Nessus プラグイン ID 170302

バージョン 1.1