出典：Red Hat Security Advisory 2016：1978：python-twisted-webの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Twistedは、イベントベースのインターネットアプリケーション用フレームワークです。Twisted Webは、TwistedとPythonを使用してWebアプリケーションをホストすることを目的とした完全なWebサーバーですが、静的ページにも十分に対応できます。セキュリティ修正プログラム：* CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-1000111）注意：この更新後、python-twisted-webはHTTP_PROXY環境変数を通じてProxyリクエストヘッダーの値をスクリプトに渡さなくなります。Red Hatは、この問題を報告してくれたScott Geary氏（VendHQ）に感謝の意を表します。

このpython-Twistedの更新では、次の問題が修正されます：

  - プロキシリクエストヘッダーが指定された場合に、認識していないアプリケーションによりプロキシが信頼されることを防ぐために、http_proxy環境変数が自動的にエクスポートされることがなくなりました（boo#989997、CVE-2016-1000111）

Red Hat Satellite 6.2 for Red Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。［2018年2月6日更新］このアドバイザリは正しい解決方法で更新されました。この改訂された更新に含まれているパッケージは、元のアドバイザリでパッケージが含まれていたものから変わっていません。Red Hat Satelliteはシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの構成や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや構成管理も行います。Twistedは、イベントベースのインターネットアプリケーション用フレームワークです。Twisted Webは、TwistedとPythonを使用してWebアプリケーションをホストすることを目的とした完全なWebサーバーですが、静的ページにも十分に対応できます。セキュリティ修正プログラム：* CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-1000111）Red Hatは、この問題を報告してくれたScott Geary氏（VendHQ）に感謝の意を表します。この更新プログラムでは、次のバグが修正されています：* カスタム権限での証明書使用による、Satellite 6.2からSatellite 6.3へのアップグレードの失敗。これらのアップグレードパスが機能するようになりました。（BZ#1523880、BZ#1527963）* Satellite 6.2からSatellite 6.3にアップグレードするときのデータ検証をサポートするための追加ツールが提供されています。（BZ＃1519904）* goferdとqpidのいくつかのメモリ使用バグが解決されました。（BZ#1319165、BZ#1318015、BZ#1492355、BZ#1491160、BZ#1440235）* Puppet報告と正誤表適用のパフォーマンスが向上しました。（BZ#1465146、BZ#1482204）* サービスを正しく停止しないで6.2.10から6.2.11にアップグレードすると、qpidデータの削除に失敗する可能性がありました。この状況は適切に処理されるようになりました。（BZ#1482539）* Puppetサーバーの暗号スイートは、インストールプロセスで設定できるようになりました。（BZ#1491363）* Apacheサーバーのデフォルトの暗号スイートは、デフォルトでより安全になりました。（BZ#1467434）* Satelliteに含まれるPulpサーバーは、単一のホストへの正誤表適用とPuppetリポジトリ同期の同時処理をより適切に処理できるように拡張されました。（BZ#1515195、BZ＃1421594）* VDCサブスクリプションは、単一ホストのみのゲストプールを作成します。管理者は、誤ってこれらのプールにアクティベーションキーを設定していました。これを行う機能は無効になりました。（BZ#1369189）* SatelliteはRHSA-2016:1978の影響を受けませんが、セキュリティスキャナは誤ってこれを問題として表示します。これらの誤検知を避けるため、この正誤表のパッケージがSatelliteチャンネルで提供されるようになりました。（BZ#1497337）* OpenScapレポートの解析によってメモリリークが発生しました。このリークは修正されました。（BZ#1454743）* ドッカーのコンテナとリポジトリの名前の長さの検証における制限が強すぎました。名前を長くすることができるようになりました。（BZ#1424689）カーネルのユーザーは、これらの更新済みのパッケージへアップグレードし、これらのバグを修正することが推奨されます。

python-twisted-webの更新プログラムが、Red Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Twistedは、イベントベースのインターネットアプリケーション用フレームワークです。Twisted Webは、TwistedとPythonを使用してWebアプリケーションをホストすることを目的とした完全なWebサーバーですが、静的ページにも十分に対応できます。セキュリティ修正プログラム：* CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-1000111）注意：この更新後、python-twisted-webはHTTP_PROXY環境変数を通じてProxyリクエストヘッダーの値をスクリプトに渡さなくなります。Red Hatは、この問題を報告してくれたScott Geary氏（VendHQ）に感謝の意を表します。

Twistedが特定のHTTPリクエストを適切に処理していないことがわかりました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このpython-Twistedの更新では、次の問題を修正します：

  - CVE-2016-1000111：ユーザー指定のプロキシリクエストヘッダーに基づいて、環境変数HTTP_PROXYを設定します（bsc#989997）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
93804	Oracle Linux 6/7：python-twisted-web（ELSA-2016-1978）	Nessus	Oracle Linux Local Security Checks	2016/9/30	2021/1/14	medium
95911	openSUSEセキュリティ更新プログラム：python-Twisted（openSUSE-2016-1482）	Nessus	SuSE Local Security Checks	2016/12/16	2021/1/19	medium
106615	RHEL 6/7：Red Hat Satellite 6（RHSA-2018:0273）	Nessus	Red Hat Local Security Checks	2018/2/6	2020/3/16	medium
93803	CentOS 6/7：python-twisted-web（CESA-2016：1978）	Nessus	CentOS Local Security Checks	2016/9/30	2021/1/4	medium
93826	RHEL 6/7：python-twisted-web（RHSA-2016:1978）	Nessus	Red Hat Local Security Checks	2016/10/3	2020/3/16	medium
107146	Ubuntu 14.04 LTS / 16.04 LTS : Twisted の脆弱性 (USN-3585-1)	Nessus	Ubuntu Local Security Checks	2018/3/6	2023/10/20	medium
119991	SUSE SLES12セキュリティ更新プログラム：python-Twisted（SUSE-SU-2017:0114-1）	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/11	medium
94342	Amazon Linux AMI：python-twisted-web（ALAS-2016-760）	Nessus	Amazon Linux Local Security Checks	2016/10/28	2020/3/16	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium