CentOS 6/7：python-twisted-web（CESA-2016：1978）

medium Nessus プラグイン ID 93803

Language:

概要

リモートのCentOSホストにセキュリティ更新プログラムがありません。

説明

python-twisted-webの更新プログラムが、Red Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Twistedは、イベントベースのインターネットアプリケーション用フレームワークです。Twisted Webは、TwistedとPythonを使用してWebアプリケーションをホストすることを目的とした完全なWebサーバーですが、静的ページにも十分に対応できます。セキュリティ修正プログラム：* CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-1000111）注意：この更新後、python-twisted-webはHTTP_PROXY環境変数を通じてProxyリクエストヘッダーの値をスクリプトに渡さなくなります。Red Hatは、この問題を報告してくれたScott Geary氏（VendHQ）に感謝の意を表します。