ネットワークプロトコル（httplib や smtplib など）を実装する複数の Python 標準ライブラリモジュールが、サーバー応答のサイズを制限することに失敗することが、見つかりました。悪意のあるサーバーにより、影響を受けるモジュールの 1 つを使用するクライアントによって、過剰な量のメモリが消費されることがあります。

pythonの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pythonはインタープリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、非常に高レベルの動的データタイプ、動的タイプ指定を含みます。Pythonは、多数のシステムコールやライブラリ、さまざまなウィンドウシステムのインターフェイスをサポートしています。セキュリティ修正プログラム：* HTTPSサーバーへの接続時、Python標準ライブラリHTTPクライアントモジュール（httplibやurllibなど）がTLS/SSL証明書の検証を正しく実施していませんでした。中間にいる攻撃者がこの欠陥を悪用し、接続をハイジャックしたり、転送されたデータを変更または傍受したりする可能性があります。（CVE-2014-9365）注意：Python標準ライブラリが更新され、デフォルトで証明書の検証が有効になりました。この変更についての詳細は、「参照」セクションのKnowledgebaseの記事2039753を参照してください。（BZ#1219110）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.4リリースノートを参照してください。

更新 python パッケージは、セキュリティの脆弱性を修正します。

sock_recvfrom_into() 関数内の境界エラーにより Python のソケットモジュールに脆弱性があることが報告されました。これが悪用され、バッファオーバーフローが引き起こされる可能性があります。これを利用することにより、 socket.recvfrom_info() 関数を使用している Python アプリケーションをクラッシュさせたり、脆弱な Python コードを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります（CVE-2014-1912）。

これは、python パッケージをバージョン 2.7.6 に更新し、ftplib および nntplib モジュールの境界のない readline() 呼び出しによるサービス拒否の欠陥を含めて、その他の複数のバグを修正します（CVE-2013-1752）。

imaplib、poplib、smtplib のモジュールでの、バインドされてない readline() 呼び出しによる、サービス拒否欠陥（CVE-2013-1752）。

python XMLRPC ライブラリでの、gzip 爆弾およびバインドされてない読み取りのサービス拒否欠陥（CVE-2013-1753）。

Python は、不充分な境界チェックによって起こる _json モジュールのバグのために、ユーザーまたは敵対者による任意のプロセスメモリ読み取りに影響を受けやすくなっています。このバグは、配列インデックスで使用する負の値をユーザーが供給できるようにすることで発生します。これにより、scanString 関数をクラッシュさせ、アクセスすることを意図した文字列外のプロセスメモリにアクセスします（CVE-2014-4616）。

CGIHTTPServer Python モジュールが、URL の URL エンコード済みパスセパレータを、適切に処理しません。これにより、攻撃者が CGI スクリプトのソースコードを漏洩させたり、サーバーのドキュメントルートで任意のコードを実行したりする可能性があります（CVE-2014-4650）。

2.7.8 以前の Python は、バッファタイプの整数オーバーフローに対して脆弱です（CVE-2014-7185）。

Python の標準ライブラリの HTTP クライアント（httplib、urllib、urllib2、xmlrpclib）が HTTPS を使用してリソースにアクセスするために使用されるとき、デフォルトでは、証明書は何らトラストストアでチェックされず、証明書のホスト名もリクエストされたホストに対してチェックされません。トラストルートでチェックするように構成することはできましたが、ホスト名チェックの機能はありませんでした（CVE-2014-9365）。

ビルド依存性が消失していたために、python-pip および tix パッケージが追加されました。

リモートホストが、バージョン 10.10.5 より前の Mac OS X 10.10.x を実行しています。したがって、次のコンポーネントの複数の脆弱性による影響を受けます：

- apache
 - apache_mod_php
 - Apple ID OD Plug-in
 - AppleGraphicsControl
 - Bluetooth
 - bootp
 - CloudKit
 - CoreMedia Playback
 - CoreText
 - curl
 - Data Detectors Engine
 - Date & Time pref pane
 - Dictionary Application
 - DiskImages
 - dyld
 - FontParser
 - groff
 - ImageIO
 - Install Framework Legacy
 - IOFireWireFamily
 - IOGraphics
 - IOHIDFamily
 - Kernel
 - Libc
 - Libinfo
 - libpthread
 - libxml2
 - libxpc
 - mail_cmds
 - Notification Center OSX
 - ntfs
 - OpenSSH
 - OpenSSL
 - perl
 - PostgreSQL
 - python
 - QL Office
 - Quartz Composer Framework
 - Quick Look
 - QuickTime 7
 - SceneKit
 - Security
 - SMBClient
 - Speech UI
 - sudo
 - tcpdump
 - Text Formats
 - udf

注意：最も深刻な問題の悪用が成功すると、任意のコード実行が発生する可能性があります。

出典: Red Hatセキュリティアドバイザリ2017:1868:pythonの更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pythonはインタープリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、非常に高レベルの動的データタイプ、動的タイプ指定を含みます。Pythonは、多数のシステムコールやライブラリ、さまざまなウィンドウシステムのインターフェイスをサポートしています。セキュリティ修正プログラム：* HTTPSサーバーへの接続時、Python標準ライブラリHTTPクライアントモジュール（httplibやurllibなど）がTLS/SSL証明書の検証を正しく実施していませんでした。中間にいる攻撃者がこの欠陥を悪用し、接続をハイジャックしたり、転送されたデータを変更または傍受したりする可能性があります。（CVE-2014-9365）注意：Python標準ライブラリが更新され、デフォルトで証明書の検証が有効になりました。この変更についての詳細は、「参照」セクションのKnowledgebaseの記事2039753を参照してください。（BZ#1219110）追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.4リリースノートを参照してください。

Python xmlrpclib モジュールが、gzip 圧縮 HTTP 応答サイズを制限していないことがわかりました。悪意のある XMLRPC サーバーが、xmlrpclib を使用する XMLPRPC クライアントに過剰なメモリを消費させる恐れがあります。(CVE-2013-1753)

ネットワークプロトコル（httplib や smtplib など）を実装する複数の Python 標準ライブラリモジュールが、サーバー応答のサイズを制限することに失敗することが、見つかりました。悪意のあるサーバーにより、影響を受けるモジュールの 1 つを使用するクライアントによって、過剰な量のメモリが消費されることがあります。(CVE-2013-1752)

CGIHTTPServer モジュールが、エンコードされた URL パスを間違って処理していたことが判明しました。リモートの攻撃者がこの欠陥を利用して、 cgi-bin ディレクトリ以外のスクリプトを実行したり、cgi-bin ディレクトリのスクリプトのソースコードを漏洩したりする可能性があります。(CVE-2014-4650)

buffer() 関数がオフセットやサイズの引数を処理する方法で、整数オーバーフローの欠陥が見つかりました。これらの引数をコントロールできる攻撃者が、この欠陥を利用して、アプリケーションのメモリの一部を漏洩したり、クラッシュさせたりすることができる可能性があります。(CVE-2014-7185)

json モジュールがネガティブなインデックス引数を特定の関数（raw_decode() など）に渡す方法で、欠陥が見つかりました。影響を受けた関数の一つに渡されたインデックス値を制御することのできる攻撃者がこの欠陥を悪用し、アプリケーションメモリの一部を漏洩する恐れがあります。(CVE-2014-4616)

HTTP サーバーへの接続時、Python 標準ライブラリ HTTP クライアントモジュール（httplib や urllib など）は、TLS/SSL 証明書の検証を正しく実施しません。中間者攻撃者がこの欠陥を悪用し、接続をハイジャックしたり、転送されたデータを変更または傍受したりする恐れがあります。(CVE-2014-9365)

この更新は以下のバグも修正します：

- Eventlet ライブラリまたはレギュラースレッドと共に使用されるサブプロセスは、以前は epoll ファイル記述子を 2 度閉じようとして「無効な引数」エラーを引き起こしていました。
 サブプロセスはファイル記述子を 1 度のみ閉じるよう修正されました。

- Python スクリプトから readline モジュールをインポートする際に、Python は stdout に誤ったランダムな文字列を生成しなくなりました。

- cProfile ユーティリティが修正され、「-s」オプションが正しい値で使用されていない場合でも、このオプションがサポートするすべての値を印刷するようになりました。

- load_cert_chain() 関数はキーファイル引数として「None」を許可するようになりました。

また、この更新は以下の拡張機能も追加します：

- PEP 466 に記載されているセキュリティ拡張機能が Python 標準ライブラリにバックポートされました。たとえば、SSL モジュールの新機能として、サーバー名表示（SNI）サポート、新しい TLSv1.x プロトコルのサポート、hashlib モジュールにおける新しいハッシュアルゴリズムなど、その他多数です。

- ssl.PROTOCOL_TLSv1_2 プロトコルのサポートが SSL ライブラリに追加されました。

- ssl.SSLSocket.version() メソッドを使用して、接続時に使用される SSL プロトコルのバージョン情報にアクセスできるようになりました。

セキュリティ修正プログラム:

  - HTTPサーバーへの接続時、Python標準ライブラリHTTPクライアントモジュール（httplibやurllibなど）は、TLS/SSL証明書の検証を正しく実施しません。中間にいる攻撃者がこの欠陥を悪用し、接続をハイジャックしたり、転送されたデータを変更または傍受したりする可能性があります。
    （CVE-2014-9365）

リモートホストは、GLSA-201503-10 で説明されている脆弱性の影響を受けます（Python：複数の脆弱性）

Python に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

コンテキスト依存の攻撃者が、任意のコードを実行できることや、サービス拒否状態を引き起こせることがあります。
 回避策：

現時点で、既知の回避策はありません。

リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、テスト済みバージョンより前です。したがって、K11068141 のアドバイザリに記載されている脆弱性の影響を受けます。

  - HTTPS URL にアクセスする際の、2.7.9 より前 2.x および 3.4.3 より前の 3.x の CPython (別名 Python) の (1) httplib、(2) urllib、(3) urllib2、および (4) xmlrpclib ライブラリの HTTP クライアントは、(a) 信頼できるストアと照合したり、サブジェクトの (b) 共通名または (c) X.509 証明書の subjectAltName フィールドにあるドメイン名とサーバーのホスト名が一致することを検証したりしません。これにより、中間者攻撃者が任意の有効な証明書を介して SSL サーバーを偽装する可能性があります。(CVE-2014-9365)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
84369	Amazon Linux AMI：python27（ALAS-2015-552）	Nessus	Amazon Linux Local Security Checks	2015/6/25	2020/3/12	high
102741	CentOS 7：python（CESA-2017:1868）	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	medium
82328	Mandriva Linux セキュリティアドバイザリ：python（MDVSA-2015:075）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/6	high
85408	Mac OS X 10.10.x < 10.10.5 の複数の脆弱性	Nessus	MacOS X Local Security Checks	2015/8/17	2018/7/16	high
102104	RHEL 7：python（RHSA-2017:1868）	Nessus	Red Hat Local Security Checks	2017/8/2	2019/10/24	medium
102286	Oracle Linux 7：python（ELSA-2017-1868）	Nessus	Oracle Linux Local Security Checks	2017/8/9	2021/1/14	medium
87570	Scientific Linux セキュリティ更新：SL7.x x86_64 の Python	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	critical
102654	Scientific Linux セキュリティ更新: SL7.x x86_64のpython（20170801）	Nessus	Scientific Linux Local Security Checks	2017/8/22	2021/1/14	medium
82009	GLSA-201503-10：Python：複数の脆弱性	Nessus	Gentoo Local Security Checks	2015/3/24	2021/1/11	medium
184227	F5 Networks BIG-IP : Python の脆弱性 (K11068141)	Nessus	F5 Networks Local Security Checks	2023/11/2	2024/5/7	medium

検出

プラグインの検索

high

medium

high

high

medium

medium

critical

medium

medium

medium