python-twisted-webの更新プログラムが、Red Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Twistedは、イベントベースのインターネットアプリケーション用フレームワークです。Twisted Webは、TwistedとPythonを使用してWebアプリケーションをホストすることを目的とした完全なWebサーバーですが、静的ページにも十分に対応できます。セキュリティ修正プログラム：* CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-1000111）注意：この更新後、python-twisted-webはHTTP_PROXY環境変数を通じてProxyリクエストヘッダーの値をスクリプトに渡さなくなります。Red Hatは、この問題を報告してくれたScott Geary氏（VendHQ）に感謝の意を表します。

CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。

Red Hat Satellite 6.2 for Red Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。［2018年2月6日更新］このアドバイザリは正しい解決方法で更新されました。この改訂された更新に含まれているパッケージは、元のアドバイザリでパッケージが含まれていたものから変わっていません。Red Hat Satelliteはシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの構成や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや構成管理も行います。Twistedは、イベントベースのインターネットアプリケーション用フレームワークです。Twisted Webは、TwistedとPythonを使用してWebアプリケーションをホストすることを目的とした完全なWebサーバーですが、静的ページにも十分に対応できます。セキュリティ修正プログラム：* CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-1000111）Red Hatは、この問題を報告してくれたScott Geary氏（VendHQ）に感謝の意を表します。この更新プログラムでは、次のバグが修正されています：* カスタム権限での証明書使用による、Satellite 6.2からSatellite 6.3へのアップグレードの失敗。これらのアップグレードパスが機能するようになりました。（BZ#1523880、BZ#1527963）* Satellite 6.2からSatellite 6.3にアップグレードするときのデータ検証をサポートするための追加ツールが提供されています。（BZ＃1519904）* goferdとqpidのいくつかのメモリ使用バグが解決されました。（BZ#1319165、BZ#1318015、BZ#1492355、BZ#1491160、BZ#1440235）* Puppet報告と正誤表適用のパフォーマンスが向上しました。（BZ#1465146、BZ#1482204）* サービスを正しく停止しないで6.2.10から6.2.11にアップグレードすると、qpidデータの削除に失敗する可能性がありました。この状況は適切に処理されるようになりました。（BZ#1482539）* Puppetサーバーの暗号スイートは、インストールプロセスで設定できるようになりました。（BZ#1491363）* Apacheサーバーのデフォルトの暗号スイートは、デフォルトでより安全になりました。（BZ#1467434）* Satelliteに含まれるPulpサーバーは、単一のホストへの正誤表適用とPuppetリポジトリ同期の同時処理をより適切に処理できるように拡張されました。（BZ#1515195、BZ＃1421594）* VDCサブスクリプションは、単一ホストのみのゲストプールを作成します。管理者は、誤ってこれらのプールにアクティベーションキーを設定していました。これを行う機能は無効になりました。（BZ#1369189）* SatelliteはRHSA-2016:1978の影響を受けませんが、セキュリティスキャナは誤ってこれを問題として表示します。これらの誤検知を避けるため、この正誤表のパッケージがSatelliteチャンネルで提供されるようになりました。（BZ#1497337）* OpenScapレポートの解析によってメモリリークが発生しました。このリークは修正されました。（BZ#1454743）* ドッカーのコンテナとリポジトリの名前の長さの検証における制限が強すぎました。名前を長くすることができるようになりました。（BZ#1424689）カーネルのユーザーは、これらの更新済みのパッケージへアップグレードし、これらのバグを修正することが推奨されます。

Twistedが特定のHTTPリクエストを適切に処理していないことがわかりました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

出典：Red Hat Security Advisory 2016：1978：python-twisted-webの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Twistedは、イベントベースのインターネットアプリケーション用フレームワークです。Twisted Webは、TwistedとPythonを使用してWebアプリケーションをホストすることを目的とした完全なWebサーバーですが、静的ページにも十分に対応できます。セキュリティ修正プログラム：* CGIスクリプトのHTTP_PROXY環境変数を初期化するために、python-twisted-webがHTTPリクエストからのProxyヘッダーの値を使用していることがわかりました。これは、発信HTTPリクエストのプロキシを構成するために、特定のHTTPクライアント実装により引き続き不適切に使用されていました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-1000111）注意：この更新後、python-twisted-webはHTTP_PROXY環境変数を通じてProxyリクエストヘッダーの値をスクリプトに渡さなくなります。Red Hatは、この問題を報告してくれたScott Geary氏（VendHQ）に感謝の意を表します。

このpython-Twistedの更新では、次の問題を修正します：

  - CVE-2016-1000111：ユーザー指定のプロキシリクエストヘッダーに基づいて、環境変数HTTP_PROXYを設定します（bsc#989997）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのMiracleLinux 4ホストには、AXSA:2016-689:01アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Twistedは、イベントベースのインターネットアプリケーション用フレームワークです。
    Twisted Webは、TwistedとPythonを使用してWebアプリケーションをホストすることを目的とした完全なWebサーバーですが、静的ページにも十分に対応できます。
    このリリースで修正されたセキュリティ問題
    CVE-2016-1000111
    **予約**この候補は、新しいセキュリティの問題を発表するときに、それを使う組織または個人によって予約されています。候補が公表されるときに、この候補の詳細が提供されます。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このpython-Twistedの更新では、次の問題が修正されます：

  - プロキシリクエストヘッダーが指定された場合に、認識していないアプリケーションによりプロキシが信頼されることを防ぐために、http_proxy環境変数が自動的にエクスポートされることがなくなりました（boo#989997、CVE-2016-1000111）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
93803	CentOS 6/7：python-twisted-web（CESA-2016：1978）	Nessus	CentOS Local Security Checks	2016/9/30	2021/1/4	medium
94342	Amazon Linux AMI：python-twisted-web（ALAS-2016-760）	Nessus	Amazon Linux Local Security Checks	2016/10/28	2026/1/20	medium
93826	RHEL 6/7：python-twisted-web（RHSA-2016:1978）	Nessus	Red Hat Local Security Checks	2016/10/3	2026/1/22	medium
106615	RHEL 6/7：Red Hat Satellite 6（RHSA-2018:0273）	Nessus	Red Hat Local Security Checks	2018/2/6	2025/10/30	medium
107146	Ubuntu 14.04 LTS / 16.04 LTS : Twisted の脆弱性 (USN-3585-1)	Nessus	Ubuntu Local Security Checks	2018/3/6	2024/8/27	medium
93804	Oracle Linux 6/7：python-twisted-web（ELSA-2016-1978）	Nessus	Oracle Linux Local Security Checks	2016/9/30	2024/10/22	medium
119991	SUSE SLES12セキュリティ更新プログラム：python-Twisted（SUSE-SU-2017:0114-1）	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/11	medium
289484	MiracleLinux 4python-twisted-web-8.2.0-5.AXS4AXSA:2016-689:01	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	medium
95911	openSUSEセキュリティ更新プログラム：python-Twisted（openSUSE-2016-1482）	Nessus	SuSE Local Security Checks	2016/12/16	2026/1/8	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium