运行 CORE 5.04/MAIN 5.04 版本的远程 NewStart CGSL 主机上安装的 python-twisted-web 程序包受到多个漏洞的影响：

  - 在 19.2.1 之前版本的 Twisted 中，twisted.web 未验证或清除 URI 或 HTTP 方法，使得攻击者可以注入 CRLF 等无效字符。(CVE-2019-12387)

  - 在 Twisted Web 19.10.0 及其之前的版本中，存在 HTTP 请求拆分漏洞。当出现两个内容-长度标头时，第一个标头会受到忽略。当第二个内容-长度值设置为零时，请求正文被解释为管道请求。(CVE-2020-10108)

  - 在 Twisted Web 19.10.0 及其之前的版本中，存在 HTTP 请求拆分漏洞。当显示 content-length 和分块编码标头时，content-length 优先并且请求正文的其余部分被解释为管道请求。(CVE-2020-10109)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

检测

NewStart CGSL CORE 5.04 / MAIN 5.04：python-twisted-web 多个漏洞 (NS-SA-2020-0078)

critical Nessus 插件 ID 144086

未找到依赖项