RHEL 5：python (RHSA-2012:0745)
high Nessus 插件 ID 59564
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
更新后的 python 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5。Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
Python 是一种直译的交互式面向对象的编程语言。
在 Python 中相关数组的实现内发现了拒绝服务缺陷。可为 Python 应用程序提供大量输入（如发送到 Web 应用程序的 HTTP POST 请求参数）以在将数据插入数组时用作密钥的攻击者可触发多个哈希函数冲突，从而使数组操作占用过量 CPU 时间。为缓解此问题，已向哈希函数添加随机化以减少攻击者成功造成蓄意冲突的可能性。(CVE-2012-1150)
注意：默认不启用哈希随机化，因为可能破坏误依赖于字典排序的应用程序。要启用保护，可使用新的“PYTHONHASHSEED”环境变量或 Python 解释器的“-R”命令行选项。有关详细信息，请参阅 python(1) 手册页。
RHSA-2012:0731 expat 勘误表必须与此更新一同安装，此更新向 Python pyexpat 模块使用的 Expat 库添加了哈希随机化。
在 Python SimpleHTTPServer 模块生成目录清单的方式中发现一个缺陷。如果攻击者可将具有特别构建的名称的文件上传到服务器，则可以在受害者访问 SimpleHTTPServer 为包含构建的文件的目录生成的清单页面时执行跨站脚本 (XSS) 攻击（如果受害者在使用特定 Web 浏览器）。(CVE-2011-4940)
在创建 .pypirc 文件期间 Python distutils 模块设置文件权限的方式中发现了争用条件。如果本地用户有权访问正在运行 distutils 的另一位用户的主目录，则可利用此缺陷获取该用户的 .pypirc 文件的访问权限，而该文件中可能包含代码存储库的用户名和密码。(CVE-2011-4944)
Red Hat 在此感谢 oCERT for 报告 CVE-2012-1150。oCERT 感谢 Julian Wälde 和 Alexander Klink 为 CVE-2012-1150 的原始报告者。
所有 Python 用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。
解决方案
更新受影响的程序包。另见
http://www.nessus.org/u?936542f0
http://www.ocert.org/advisories/ocert-2011-003.html
https://rhn.redhat.com/errata/RHSA-2012-0731.html
https://access.redhat.com/errata/RHSA-2012:0745
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=750555
插件详情
严重性: High
ID: 59564
文件名: redhat-RHSA-2012-0745.nasl
版本: 1.25
类型: local
代理: unix
发布时间: 2012/6/19
最近更新时间: 2024/4/27
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.7
CVSS v2
风险因素: Low
基本分数: 2.6
时间分数: 2
矢量: CVSS2#AV:N/AC:H/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2011-4940
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2012-1150
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:python, p-cpe:/a:redhat:enterprise_linux:python-devel, p-cpe:/a:redhat:enterprise_linux:python-libs, p-cpe:/a:redhat:enterprise_linux:python-tools, p-cpe:/a:redhat:enterprise_linux:tkinter, cpe:/o:redhat:enterprise_linux:5
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2012/6/18