Red Hat セキュリティアドバイザリ 2016:1626 から：

Red Hat Enterprise Linux 6 および Red Hat Enterprise Linux 7 用の python の更新が現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

Python はインタプリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、非常に高レベルの動的データ型および動的型指定を含みます。Python は、多数のシステムコールやライブラリ、ならびに様々なウィンドウシステムへのインターフェイスをサポートしています。

セキュリティ修正：

* Python の CGIHandler クラスが CGI コンテキストでの HTTP_PROXY 変数名のクラッシュから適切に保護しないことが判明しました。リモートの攻撃者がこの欠陥を利用して、悪意のある HTTP リクエストを介して、Python CGI スクリプトが実行する HTTP リクエストを、攻撃者が制御するプロキシにおそらくリダイレクトする可能性があります。（CVE-2016-1000110）

* StartTLS が SMTP.starttls() 関数で確立に失敗した際に、Python の smtplib ライブラリが例外を返さないことが判明しました。中間者攻撃者は、Python SMTP クライアントアプリケーションで例外を生成せずに STARTTLS コマンドを実行して、TLS レイヤーの確立を妨害する可能性があります。（CVE-2016-0772）

* Python の httplib ライブラリ（urllib、urllib2 などが使用）が HTTPConnection.putheader() 関数の引数を適切に点検しないことが判明しました。攻撃者はこの欠陥を利用して、追加ヘッダーを Python アプリケーションに挿入して、ユーザー指定のヘッダー名または値を使用する可能性があります。（CVE-2016-5699）

Red Hat は、CVE-2016-1000110 を報告してくれた Scott Geary 氏（VendHQ）に感謝の意を表します。

検出

Oracle Linux 6/7：python（ELSA-2016-1626）

medium Nessus プラグイン ID 93034

変更ログが見つかりません