リモートの Debian 10 ホストには、dla-3432 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.10.8までの Python (別名 CPython) では、mailcap モジュールは、システム mailcap ファイルで発見されたコマンドにエスケープ文字を追加しません。これにより、攻撃者が、信頼できない入力で mailcap.findmatch を呼び出すアプリケーションにシェルコマンドを注入する可能性があります (ユーザー指定のファイル名または引数の検証がない場合)。この修正は 3.7、3.8、3.9 にもバックポートされています (CVE-2015-20107)

  - 3.8.3 以前の Python の Lib/tarfile.py では _proc_pax がヘッダー検証を欠いているため、攻撃者は、tarfile.open によって開かれた無限ループにつながる TAR アーカイブを作ることができます。(CVE-2019-20907)

  - Python 3.5.10 以前の 3.x、3.6.12 以前の 3.6.x、3.7.9 以前の 3.7.x、および 3.8.5 以前の 3.8.x の http.client では、HTTPConnection.request. の最初の引数に CR および LF 制御文字を挿入することで実証されているように、攻撃者が HTTP リクエストメソッドを制御すれば CRLF インジェクションが可能です。(CVE-2020-26116)

  - Python の 2.7 ～ 2.7.17、3.5 ～ 3.5.9、3.6 ～ 3.6.10、3.7 ～ 3.7.6、および 3.8 ～ 3.8.1 では、HTTP サーバーがクライアントに対して正規表現サービス拒否 (ReDoS) 攻撃を実施する可能性があります。これは、urllib.request.AbstractBasicAuthHandler の致命的なバックトラッキングが原因です。(CVE-2020-8492)

  - Python 3.x から 3.9.1 は、_ctypes/callproc.c の PyCArg_repr のバッファオーバーフローがあります。これにより、浮動小数点を信頼できない入力として受け入れる特定の Python アプリケーションで、リモートコード実行が引き起こされることがあります。これは、c_double.from_param に対する 1e300 引数で実証されています。これは、sprintf が安全でない方法で使用されているために発生します。(CVE-2021-3177)

  - urllib の AbstractBasicAuthHandler クラスに欠陥があります。攻撃者が HTTP クライアント (Webブラウザなど) が接続する悪意のある HTTP サーバーを制御し、サーバーからクライアントに送信される特別に細工されたペイロードを使用して、認証リクエスト中に正規表現のサービス拒否 (ReDOS) をトリガーする可能性があります。この欠陥による最大のリスクは、アプリケーションの可用性です。
    (CVE-2021-3733)

  - python で欠陥が見つかりました。python の HTTP クライアントコードで HTTP 応答が不適切に処理されるため、HTTP サーバーをコントロールするリモート攻撃者が、クライアントスクリプトを無限ループに陥らせ、CPU 時間を消費する可能性があります。この脆弱性が最大の脅威となるのは、システムの可用性です。(CVE-2021-3737)

  - Python、特に PASV (パッシブ) モードの FTP (File Transfer Protocol) クライアントライブラリに欠陥が見つかりました。問題は、FTP クライアントがデフォルトで PASV 応答からホストを信頼する方法です。この欠陥により、攻撃者は悪意のある FTP サーバーをセットアップし、FTP クライアントをだまして特定の IP アドレスとポートに接続させる可能性があります。この脆弱性により、本来不可能だった、FTP クライアントによるポートのスキャンにつながる可能性があります。(CVE-2021-4189)

  - 3.11.1より前の Python で問題が発見されました。IDNA (RFC 3490) デコーダーへの一部の入力を処理する際に、細工された不合理に長い名前がデコーダーに提示されるため、不要な二次アルゴリズムが 1 つのパスに存在し、CPU のサービス拒否を引き起こす可能性があります。ホスト名は、悪意のある攻撃者によって制御される可能性があるリモートサーバーから提供されることがよくあります。このようなシナリオでは、攻撃者が指定した想定ホスト名を利用しようとするクライアントで、過剰な CPU 消費を引き起こす可能性があります。
    たとえば、攻撃ペイロードは、ステータスコード 302 の HTTP 応答の Location ヘッダーに配置される可能性があります。3.11.1、3.10.9、3.9.16、3.8.16、および 3.7.16で修正が計画されています。(CVE-2022-45061)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-3432-1 : python2.7 - LTS セキュリティ更新

critical Nessus プラグイン ID 176347

バージョン 1.0