検出

CentOS 9: python-urllib3-1.26.5-6.el9

medium Nessus プラグイン ID 201849

Language:

概要

リモートの CentOS ホストに python3-urllib3 用のセキュリティ更新プログラムがありません。

説明

リモートの CentOS Linux 9 ホストに、python- urllib3-1.26.5-6.el9 ビルド変更ログに記載されている脆弱性の影響を受けるパッケージがインストールされています。

 - urllib3 は、Python 用の使いやすい HTTP クライアントライブラリです。「ProxyManager」で urllib3 のプロキシサポートを使用する場合、想定通り、「Proxy-Authorization」ヘッダーが設定済みのプロキシにのみ送信されます。
 ただし、urllib3 のプロキシサポートを使用*せず*に HTTP リクエストを送信すると、リクエストが転送プロキシまたはトンネリングプロキシを使用しても効果がないにも関わらず、誤って「Proxy-Authorization」ヘッダーを設定する可能性があります。このような場合、urllib3 は「Proxy-Authorization」HTTP ヘッダーを認証情報を伝送するものとして扱わないため、クロスオリジンリダイレクトでヘッダーを削除しません。これは可能性が非常に低いシナリオであるため、ほぼすべてのユーザーにとってこの脆弱性の深刻度は低いと考えられます。用心のために、urllib3 はクロスオリジンリダイレクト中に自動的に「Proxy-Authorization」ヘッダーを取り除き、ユーザーが偶然にこれを行う可能性を回避します。ユーザーは「Proxy-Authorization」ヘッダーを安全に処理するために、urllib3 のプロキシサポートを使用するか、自動リダイレクトを無効にする必要がありますが、適切なアプローチを使用していないユーザーをさらに保護するために、デフォルトでヘッダーを削除することにしました。このアドバイザリの影響を受ける使用状況の数は少ないと考えられます。この脆弱性を悪用するには、次のすべてが当てはまる必要があります。1. urllib3 のビルトインプロキシサポートを使用せずに、「Proxy-Authorization」ヘッダーを設定する。2. HTTP リダイレクトを無効にしない。3. HTTPS オリジンサーバーを使用していないか、プロキシまたはターゲットのオリジンを悪意のあるオリジンにリダイレクトする。ユーザーは、バージョン 1.26.19 またはバージョン 2.2.2 に更新することが推奨されています。アップグレードできないユーザーは、urllib3 の「ProxyManager」で「Proxy-Authorization」ヘッダーを使用したり、リクエストの送信時に「redirects=False」を使用して HTTP リダイレクトを無効にしたり、緩和策として「Proxy-Authorization」ヘッダーを使用しなかったりする可能性があります。(CVE-2024-37891)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

CentOS 9 Stream python3-urllib3 パッケージを更新してください。

参考資料

https://kojihub.stream.centos.org/koji/buildinfo?buildID=65369

プラグインの詳細

深刻度: Medium

ID: 201849

ファイル名: centos9_python-urllib3-1_26_5-6_65369.nasl

バージョン: 1.1

タイプ: local

エージェント: unix

公開日: 2024/7/3

更新日: 2024/7/3

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 4.4

CVSS v2

リスクファクター: Medium

基本値: 4.6

現状値: 3.4

ベクトル: CVSS2#AV:N/AC:H/Au:M/C:C/I:N/A:N

CVSS スコアのソース: CVE-2024-37891

CVSS v3

リスクファクター: Medium

基本値: 4.4

現状値: 3.9

ベクトル: CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:centos:centos:python3-urllib3, cpe:/a:centos:centos:9

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/CentOS/release, Host/CentOS/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2024/7/3

脆弱性公開日: 2024/6/17

参照情報

CVE: CVE-2024-37891