セキュリティ修正：

- Python の CGIHandler クラスが CGI コンテキストでの HTTP_PROXY 変数名のクラッシュから適切に保護しないことが判明しました。リモートの攻撃者がこの欠陥を利用して、悪意のある HTTP リクエストを介して、Python CGI スクリプトが実行する HTTP リクエストを、攻撃者が制御するプロキシにおそらくリダイレクトする可能性があります。
 （CVE-2016-1000110）

- StartTLS が SMTP.starttls() 関数で確立に失敗した際に、Python の smtplib ライブラリが例外を返さないことが判明しました。中間者攻撃者は、Python SMTP クライアントアプリケーションで例外を生成せずに STARTTLS コマンドを実行して、TLS レイヤーの確立を妨害する可能性があります。（CVE-2016-0772）

- Python の httplib ライブラリ（urllib、urllib2 などが使用）が HTTPConnection.putheader() 関数の引数を適切にチェックしていないことが判明しました。攻撃者はこの欠陥を利用して、追加ヘッダーを Python アプリケーションに挿入して、ユーザー指定のヘッダー名または値を使用する可能性があります。（CVE-2016-5699）

検出

Scientific Linux セキュリティ更新：SL6.x、SL7.x i386/x86_64 での python

medium Nessus プラグイン ID 93072

バージョン 2.9