Amazon Linux AMI：python27 (ALAS-2022-1593)
critical Nessus 插件 ID 162008
语言：
简介
远程 Amazon Linux AMI 主机缺少安全更新。描述
远程主机上安装的 python27 版本低于 2.7.18-2.142。因此，如公告 ALAS-2022-1593 所述，该主机受到多个漏洞的影响。- 在 3.9.0 及之前版本的 Python 3 中，Lib/test/multibytecodec_support.py CJK 编解码器测试对通过 HTTP 检索的内容调用 eval()。(CVE-2020-27619)
- 0 到 3.6.13、3.7.0 到 3.7.10、3.8.0 到 3.8.8、3.9.0 到 3.9.2 版本的 python/cpython 程序包容易受到 Web 缓存中毒问题的影响，可使用名为参数隐身的矢量通过 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 来造成此问题。当攻击者可使用分号 (;) 分隔查询参数时，这些参数可导致代理（以默认配置运行）与服务器之间的请求解释出现差异。这可导致恶意请求被缓存为完全安全的请求。这是因为代理通常不会将分号视为分隔符，所以不会将其包括在未加密参数的缓存密钥中。 (CVE-2021-23336)
- urllib 的 AbstractBasicAuthHandler 类中存在一个缺陷。如果攻击者可以控制 HTTP 客户端（例如 Web 浏览器）连接到的恶意 HTTP 服务器，则有可能在使用由服务器发送到客户端的特制负载请求身份验证期间，触发正则表达式拒绝服务 (ReDOS)。 此缺陷对应用程序可用性的威胁最大。
(CVE-2021-3733)
- 在 python 中发现一个缺陷。python 的 HTTP 客户端代码中存在未正确处理的 HTTP 响应，因此可能允许控制 HTTP 服务器的远程攻击者使客户端脚本进入无限循环，从而消耗 CPU 时间。此漏洞最大的威胁在于系统可用性。(CVE-2021-3737)
- 在 Python 中发现一个缺陷，尤其是在 urllib.parse 模块中。此模块有助于将统一资源定位器 (URL) 字符串拆分为多个组件。此问题涉及 urlparse 方法如何不审查输入并允许 URL 路径中包含“\r”和“”等字符。此缺陷允许攻击者输入构建的 URL，从而导致注入攻击。此缺陷影响 Python 3.10.0b1、3.9.5、3.8.11、3.7.11 和 3.6.14 之前版本。(CVE-2022-0391)
请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。
解决方案
运行 'yum update python27' 以更新系统。另见
https://alas.aws.amazon.com/ALAS-2022-1593.html
https://alas.aws.amazon.com/cve/html/CVE-2020-27619.html
https://alas.aws.amazon.com/cve/html/CVE-2021-23336.html
https://alas.aws.amazon.com/cve/html/CVE-2021-3733.html
https://alas.aws.amazon.com/cve/html/CVE-2021-3737.html
插件详情
严重性: Critical
ID: 162008
文件名: ala_ALAS-2022-1593.nasl
版本: 1.4
类型: local
代理: unix
发布时间: 2022/6/10
最近更新时间: 2023/10/25
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2020-27619
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:amazon:linux:python27, p-cpe:/a:amazon:linux:python27-debuginfo, p-cpe:/a:amazon:linux:python27-devel, p-cpe:/a:amazon:linux:python27-libs, p-cpe:/a:amazon:linux:python27-test, p-cpe:/a:amazon:linux:python27-tools, cpe:/o:amazon:linux
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2022/5/31
漏洞发布日期: 2020/10/22
参考资料信息
CVE: CVE-2020-27619, CVE-2021-23336, CVE-2021-3733, CVE-2021-3737, CVE-2021-4189, CVE-2022-0391
IAVA: 2021-A-0052-S, 2021-A-0263-S, 2021-A-0497-S