远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 3335 公告中提及的多个漏洞的影响。

  - python-urllib3：未对“\r\n”序列进行编码造成 CRLF 注入，进而导致内部服务可能遭到攻击 (CVE-2019-11236)

  - python-urllib3：应该抛出错误时出现不当处理凭证 (CVE-2019-11324)

  - numpy：在 pickle python 模块的 numpy.load() 中传递的构建序列化对象可造成任意代码执行 (CVE-2019-6446)

  - python：通过传递至 urlopen() 的 URL 查询部分注入 CRLF (CVE-2019-9740)

  - python：通过传递至 urlopen() 的 URL 路径部分注入 CRLF (CVE-2019-9947)

  - python：未记录的 local_file 协议允许远程攻击者绕过保护机制 (CVE-2019-9948)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

CentOS 8：python27: 2.7 (CESA-2019: 3335)

critical Nessus 插件 ID 145618

版本 1.5