- 已发现 Python 的 httplib 库（用于 urllib、urllib2 和其他项目）未正确检查 HTTPConnection.putheader() 中的 HTTP 标头输入。攻击者可利用此缺陷，将其他标头注入允许用户提供标头名称或值的 Python 应用程序。(CVE-2016-5699)

- 已发现如果无法在 SMTP.starttls() 函数中正确创建 StartTLS，Python 的 smtplib 库将不会返回异常。可启动活动的中间人攻击的攻击者可剥离 STARTTLS 命令而不在 python SMTP 客户端应用程序中生成异常，进而防止建立 TLS 层。(CVE-2016-0772)

在 Python 内置的 zipimporter 中发现一个漏洞。
在模块路径中置入一个特别构建的 zip 文件，让它之后能够由“导入”语句加载，这可造成堆溢出，进而导致执行任意代码。(CVE-2016-5636)

检测

Amazon Linux AMI：python26 / python27、python34 (ALAS-2016-724)

critical Nessus 插件 ID 92471

未找到变更日志