Amazon Linux AMI:python36 (ALAS-2020-1428)

medium Nessus 插件 ID 140087

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

远程主机上安装的测试产品版本低于测试版本。因此,如公告 ALAS-2020-1428 所述,该主机受到多个漏洞的影响。

- 在 GNU C 库(也称为 glibc 或 libc6)2.28 及之前的版本中,getaddrinfo 函数会成功解析包含 IPv4 地址且后跟空格和任意字符的字符串,这可导致应用程序错误地认为它已解析了一个有效字符串,而不可能是嵌入式 HTTP 标头或其他潜在的危险子字符串。(CVE-2016-10739)

- 在 Python 2.x 至 2.7.17 版本的 urllib2 以及 Python 3.x 至 3.8.0 版本的 urllib 中发现问题。
如果攻击者控制了 url 参数便可能发生 CRLF 注入,urllib.request.urlopen 的第一个参数带有 \r(特别是在 URL 的主机部分中)并后跟 HTTP 标头即为一例。这类似于 CVE-2019-9740 查询字符串问题以及 CVE-2019-9947 路径字符串问题。
(对 glibc 修复了 CVE-2016-10739 时,无法再利用此问题。)(CVE-2019-18348)

- 在 Python 3.8.3 及之前版本的 Lib/tarfile.py 中,由于 _proc_pax 缺少标头验证,因此攻击者可以构建一个由 tarfile.open 打开时产生无限循环的 TAR 归档文件。(CVE-2019-20907)

- 在 Python 2.x 至 2.7.16 版本的 urllib2 以及 Python 3.x 至 3.7.3 版本的 urllib 中发现问题。
如果攻击者控制了 url 参数便可能发生 CRLF 注入,urllib.request.urlopen 的第一个参数带有 \r(特别是在 ? 字符后的查询字符串中)并后跟 HTTP 标头或 Redis 命令即为一例。(CVE-2019-9740)

- 在 Python 2.x 至 2.7.16 版本的 urllib2 以及 Python 3.x 至 3.7.3 版本的 urllib 中发现问题。
如果攻击者控制了 url 参数便可能发生 CRLF 注入,urllib.request.urlopen 的第一个参数带有 \r(特别是在缺少 ? 的 URL 的路径部分中)并后跟 HTTP 标头或 Redis 命令即为一例。这与 CVE-2019-9740 的查询字符串问题相似。
(CVE-2019-9947)

请注意,Nessus 尚未测试此问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

运行 'yum update python36' 以更新系统。

另见

https://alas.aws.amazon.com/ALAS-2020-1428.html

https://access.redhat.com/security/cve/CVE-2019-18348

https://access.redhat.com/security/cve/CVE-2019-20907

插件详情

严重性: Medium

ID: 140087

文件名: ala_ALAS-2020-1428.nasl

版本: 1.5

类型: local

代理: unix

发布时间: 2020/8/31

最近更新时间: 2024/2/22

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Low

分数: 3.8

CVSS v2

风险因素: Medium

基本分数: 4.6

时间分数: 3.6

矢量: CVSS2#AV:L/AC:L/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2016-10739

CVSS v3

风险因素: Medium

基本分数: 6.1

时间分数: 5.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

CVSS 分数来源: CVE-2019-9947

漏洞信息

CPE: p-cpe:/a:amazon:linux:python36-libs, cpe:/o:amazon:linux, p-cpe:/a:amazon:linux:python36-debug, p-cpe:/a:amazon:linux:python36-debuginfo, p-cpe:/a:amazon:linux:python36-test, p-cpe:/a:amazon:linux:python36, p-cpe:/a:amazon:linux:python36-devel, p-cpe:/a:amazon:linux:python36-tools

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可利用: true

易利用性: Exploits are available

补丁发布日期: 2020/8/27

漏洞发布日期: 2019/1/21

参考资料信息

CVE: CVE-2016-10739, CVE-2019-18348, CVE-2019-20907, CVE-2019-9740, CVE-2019-9947

BID: 106672, 107466, 107555

ALAS: 2020-1428

IAVA: 2020-A-0340-S