在 python 中发现 CVE-2019-9636 安全性回归问题，它仍然允许攻击者滥用 URL 用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。(CVE-2019-10160)

安全修复：- python：由于功能修复允许 netloc 中的端口号，CVE-2019-9636 回归 (CVE-2019-10160)

在面向对象的交互式高级语言 Python2.7 中发现多个安全漏洞。

CVE-2018-20852

攻击者利用恶意服务器可能会窃取用于其他域的 cookie。

CVE-2019-5010

使用特别构建的 X509 证书造成空指针取消引用。

CVE-2019-9636

在 NFKC 正则化期间不当处理 Unicode 编码（具有错误的 netloc），造成信息泄露（针对给定主机名称缓存的凭据、cookie 等）。
一个可能被错误解析的特制 URL，用来定位 cookie 或验证数据，并将该信息发送至与正确解析时不同的主机。

CVE-2019-9740

在 urllib2 中发现一个问题，其中若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中），随后是 HTTP 标头或 Redis 命令即为一例。

CVE-2019-9947

在 urllib2 中发现问题，其中若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在缺少 ? 字符的 URL 的路径组件中），随后是 HTTP 标头或 Redis 命令即为一例。这与 CVE-2019-9740 的查询字符串问题相似。

CVE-2019-9948

urllib 支持 local_file: scheme，这让远程攻击者更容易绕过黑名单文件：
URI 的保护机制，触发 urllib.urlopen('local_file: ///etc/passwd') 调用即为一例。

CVE-2019-10160

发现 CVE-2019-9636 安全性回归问题，该问题仍然允许攻击者滥用 URL 用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。
攻击的结果可能因应用程序而有不同。

CVE-2019-16056

电子邮件模块错误地解析了包含多个 @ 字符的电子邮件地址。使用电子邮件模块，并对消息的 From/To 标头实施某些类型检查的应用程序可能会受到诱骗，接受本应拒绝的电子邮件地址。

CVE-2019-20907

由于缺少标头验证，打开构建的 tar 文件可能会导致无限循环。

对于 Debian 9 stretch，已在版本 2.7.13-2+deb9u4 中修复这些问题。

我们建议您升级 python2.7 程序包。

如需了解 python2.7 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python2.7

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

python 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用和库的接口，以及多种 Window 系统的接口。安全修复：* python：由于在 netloc 中允许端口号的功能修复，造成 CVE-2019-9636 回归 (CVE-2019-10160) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

自提交 d537ab0ff9767ef024f26246899728f0116b1ec3 后，在 python 中发现 CVE-2019-9636 安全性回归问题，它仍然允许攻击者滥用 URL 用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。(CVE-2019-10160)

发现 Python 未能正确处理某些 pickle 文件。攻击者可能利用此问题消耗内存，从而导致拒绝服务。此问题仅影响 Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2018-20406)

发现 Python 在处理 cookie 时，未能正确验证域名。攻击者可能诱骗 Python 将 cookie 发送到错误的域名。(CVE-2018-20852)

Jonathan Birch 和 Panayiotis Panayiotou 发现 Python 在 NFKC 规范化期间，未能正确处理 Unicode 编码。攻击者可能利用此问题获取敏感信息。（CVE-2019-9636、CVE-2019-10160）

Colin Read 和 Nicolas Edet 发现 Python 未能正确处理某些 X509 证书的解析。攻击者可能利用此问题造成 Python 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。
(CVE-2019-5010)

发现 Python 未能正确处理某些 url。远程攻击者可能利用此问题执行 CRLF 注入攻击。（CVE-2019-9740、CVE-2019-9947）

Sihoon Lee 发现 Python 未能正确处理 local_file:
scheme。远程攻击者可能利用此问题绕过黑名单机制。(CVE-2019-9948)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程主机上安装的 F5 Networks BIG-IP 版本低于 16.1.0。因此，它受到 K57542514 公告中提及的多个漏洞影响。

  - Python 2.7.x 到 2.7.16 及 3.x 到 3.7.2 的版本受到下列影响：在 NFKC 规范化期间对 Unicode 编码处理不当（具有错误的 netloc）。影响为：信息泄露（针对给定主机名缓存的凭据、cookie 等）。组件为：urllib.parse.urlsplit、urllib.parse.urlparse。攻击向量为：一个可能被错误解析的特制 URL，用来定位 cookie 或验证数据，并将该信息发送至与正确解析时不同的主机。
    此问题已在以下版本中修复：v2.7.17、v2.7.17rc1、v2.7.18、v2.7.18rc1；v3.5.10、v3.5.10rc1、v3.5.7、v3.5.8、v3.5.8rc1、v3.5.8rc2、v3.5.9；v3.6.10、v3.6.10rc1、v3.6.11、v3.6.11rc1、v3.6.12、v3.6.9、v3.6.9rc1；
    v3.7.3、v3.7.3rc1、v3.7.4、v3.7.4rc1、v3.7.4rc2、v3.7.5、v3.7.5rc1、v3.7.6、v3.7.6rc1、v3.7.7、v3.7.7rc1、 v3.7.8、v3.7.8rc1、v3.7.9。(CVE-2019-9636)

  - 自提交 d537ab0ff9767ef024f26246899728f0116b1ec3 后，在 python 中发现一个安全性回归 (CVE-2019-9636) 漏洞（受影响的版本为 2.7、3.5、3.6、3.7 以及 3.8.0a4 版至 3.8.0b1 版），该漏洞仍允许攻击者通过滥用 URL 的用户和密码来利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。(CVE-2019-10160)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自提交 d537ab0ff9767ef024f26246899728f0116b1ec3 后，在 python 中发现 CVE-2019-9636 安全性回归问题，它仍然允许攻击者滥用 URL 用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。(CVE-2019-10160) Python 2.x 到 2.7.16 版本中的 urllib 支持 local_file: scheme，这让远程攻击者更容易绕过黑名单文件：URI 的保护机制，触发 urllib.urlopen('local_file:///etc/passwd') 调用即为一例。(CVE-2019-9948)

在 Python（面向对象的交互式高级语言）中发现多个漏洞，包括 CVE-2018-14647 Python 的 elementtree C 加速器在初始化期间无法初始化 Expat 的哈希 salt。这可以通过构建 XML 文档轻松对 Expat 进行拒绝服务攻击，该文档可造成 Expat 内部数据结构的病态哈希碰撞，从而导致消耗大量的 CPU 和 RAM。CVE-2019-5010 使用特制的 X509 证书造成空指针取消引用。CVE-2019-9636 在 NFKC 正则化期间不当处理 Unicode 编码（具有错误的 netloc），造成信息泄露（针对给定主机名称缓存的凭据、cookie 等）。一个可能被错误解析的特制 URL，用来定位 cookie 或验证数据，并将该信息发送至与正确解析时不同的主机。CVE-2019-9740 在 urllib2 中发现一个问题，其中若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中），随后是 HTTP 标头或 Redis 命令即为一例。CVE-2019-9947 在 urllib2 中发现问题，其中若攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在缺少 ? 字符的 URL 的路径组件中），随后是 HTTP 标头或 Redis 命令即为一例。这与 CVE-2019-9740 的查询字符串问题相似。CVE-2019-9948 urllib 支持 local_file: scheme，这让远程攻击者更容易绕过黑名单文件：URI 的保护机制，触发 urllib.urlopen('local_file:///etc/passwd') 调用即为一例。CVE-2019-10160 发现 CVE-2019-9636 安全性回归问题，它仍然允许攻击者滥用 URL 用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。对于 Debian 8“Jessie”，这些问题已在 2.7.9-2+deb8u3 版本中修复。我们建议您升级 python2.7 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受漏洞影响的 python 程序包：- 自 commit d537ab0ff9767ef024f26246899728f0116b1ec3 后，在 python 中发现 CVE-2019-9636 安全性回归问题，仍然允许攻击者通过滥用 URL 的用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。(CVE-2019-10160) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

运行版本 CORE 5.05 / MAIN 5.05 的远程 NewStart CGSL 主机安装有受漏洞影响的 python 程序包：- 自 commit d537ab0ff9767ef024f26246899728f0116b1ec3 后，在 python 中发现 CVE-2019-9636 安全性回归问题，仍然允许攻击者通过滥用 URL 的用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。(CVE-2019-10160) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

python 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用和库的接口，以及多种 Window 系统的接口。安全修复：* 由于功能修复允许 netloc 中的端口号，CVE-2019-9636 回归 (CVE-2019-10160) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

redhat-virtualization-host 的更新现在可用于 Red Hat Enterprise Linux 7 的 Red Hat Virtualization 4。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。redhat-virtualization-host 程序包提供 Red Hat Virtualization Host。这些程序包包括 redhat-release-virtualization-host、ovirt-node 和 rhev-hypervisor。Red Hat Virtualization Host (RHVH) 使用特殊版本的 Red Hat Enterprise Linux 安装，仅包含主机虚拟机所需的程序包。RHVH 以监控主机资源和执行管理任务的 Cockpit 用户界面为特色。下列程序包已升级到更新的上游版本：imgbased (1.1.9)、ovirt-node-ng (4.3.5)、redhat-release-virtualization-host (4.3.5)、redhat-virtualization-host (4.3.5)。(BZ#1669357, BZ#1669365, BZ#1684986, BZ# 1711193, BZ#1717250, BZ#1726917) 安全修复：* python：因为需要在 netloc 中允许端口数字所进行的功能修复而导致 CVE-2019-9636 回归 (CVE-2019-10160) * rsyslog：imptcp：当启用 Octet-Counted TCP Framing 时发生整数溢出 (CVE-2018-16881) * edk2：XHCI 中发生堆栈溢出，造成拒绝服务 (CVE-2019-0161) * openssl：0 字节记录 padding oracle (CVE-2019-1559) * cockpit-ovirt：在 HE 部署期间，在纯文本变量文件中保存管理和设备密码 (CVE-2019-10139) * sssd：因为权限限制过于严格而导致 GPO 的不当实施 (CVE-2018-16838) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

自提交 d537ab0ff9767ef024f26246899728f0116b1ec3 后，在 python 中发现 CVE-2019-9636 安全性回归问题，它仍然允许攻击者滥用 URL 用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。(CVE-2019-10160) 在 Python 2.7.16 及之前的 2.x 版本中的 urllib2，还有 Python 3.7.3 及之前的 3.x 版本中的 urllib 中发现一个问题，其中若攻击者控制了 url 参数，便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中），随后是 HTTP 标头或 Redis 命令即为一例。(CVE-2019-9740) Python 2.7.16 及之前的 2.x 版本中的 urllib 支持 local_file: scheme，这让远程攻击者更容易绕过列入黑名单文件：URI 的保护机制，触发 urllib.urlopen('local_file:///etc/passwd') 调用即为一例。(CVE-2019-9948) 在 Python 2.7.16 及之前的 2.x 版本中的 urllib2，还有 Python 3.7.3 及之前的 3.x 版本中的 urllib 中发现一个问题，其中若攻击者控制了 url 参数，便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在缺少 ? 字符的路径组件中），随后是 HTTP 标头或 Redis 命令即为一例。这与 CVE-2019-9740 的查询字符串问题相似。(CVE-2019-9947) 在 Python 2.7.16 及之前版本、3.5.7 及之前的 3.x 版本、3.6.9 及之前的 3.6.x 版本，还有 3.7.4 及之前的 3.7.x 版本中发现问题。电子邮件模块错误解析包含多个 @ 字符的电子邮件地址。使用电子邮件模块，并对消息的发件人/收件人标头实施某些检查的应用程序可能会被诱使接受本应拒绝的电子邮件地址。攻击可能与 CVE-2019-11340 中相同；但此 CVE 更普遍地适用于 Python。(CVE-2019-16056) Python 2.7.x 到 2.7.16 及 3.x 到 3.7.2 的版本受到下列影响：在 NFKC 规范化期间对 Unicode 编码处理不当（具有错误的 netloc）。影响为：信息泄漏（针对给定主机名缓存的凭据、cookie 等）。组件为：urllib.parse.urlsplit、urllib.parse.urlparse。攻击向量为：一个可能被错误解析的特制 URL，用来定位 cookie 或验证数据，并将该信息发送至与正确解析时不同的主机。(CVE-2019-9636)

在面向对象的交互式高级语言 Python 中发现多个安全问题。

CVE-2018-20406

模块/_pickle.c 通过在“重设大小到两倍大小”尝试期间错误处理的大型 LONG_BINPUT 值而产生一个整数溢出。
此问题可能会造成内存耗尽，但是只有在 pickle 格式用于序列化数十或数百 GB 数据时才有意义。

CVE-2018-20852

Lib/http/cookiejar.py 中的 http.cookiejar.DefaultPolicy.domain_return_ok 未正确验证域：它可能会遭诱骗而将现有的 Cookie 发送至错误的服务器。攻击者可以通过使用主机名称带有另一个有效主机名称作为后缀的服务器来滥用此缺陷（例如，pythonicexample.com 窃取 example.com 的 Cookie）。
当某个程序使用 http.cookiejar.DefaultPolicy，并尝试进行至攻击者控制的服务器的 HTTP 连接时，可以将现有的 Cookie 泄露给攻击者。

CVE-2019-5010

X509 证书解析器中存在一个可利用的拒绝服务漏洞。特别构建的 X509 证书可造成空指针取消引用，从而导致拒绝服务。攻击者可使用构建的证书初始化或接受 TLS 连接，进而触发此漏洞。

CVE-2019-9636

在 NFKC 规范化期间对 Unicode 编码处理不当（具有错误的 netloc）。影响为：信息泄露（针对给定主机名缓存的凭据、cookie 等）。
组件为：urllib.parse.urlsplit、urllib.parse.urlparse。攻击向量为：一个可能被错误解析的特制 URL，用来定位 cookie 或验证数据，并将该信息发送至与正确解析时不同的主机。

CVE-2019-9740

在 urllib2 中发现一个问题。如果攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中）且后跟 HTTP 标头或 Redis 命令即为一例。

CVE-2019-9947

在 urllib2 中发现一个问题。如果攻击者控制了 url 参数便可能发生 CRLF 注入，urllib.request.urlopen 的第一个参数带有 \r\n（特别是在缺少 ? 的 URL 的路径部分中）并后跟 HTTP 标头或 Redis 命令即为一例。这与 CVE-2019-9740 的查询字符串问题相似。

CVE-2019-9948

urllib 支持 local_file: scheme，这让远程攻击者更容易绕过黑名单文件：
URI 的保护机制，触发 urllib.urlopen('local_file: ///etc/passwd') 调用即为一例。

CVE-2019-10160

在 python 中发现一个安全性回归问题，该问题仍然允许攻击者通过滥用 URL 用户和密码部分来恶意利用 CVE-2019-9636。应用程序解析用户提供的 URL 来存储 cookie、验证凭据或其他类信息时，有可能使攻击者提供特制 URL 让应用程序定位主机相关信息（例如，cookie 和验证数据）并将它们发送至不同于正确主机的主机，除非 URL 已得到正确解析。攻击的结果可能因应用程序而有不同。

CVE-2019-16056

电子邮件模块错误地解析了包含多个 @ 字符的电子邮件地址。使用电子邮件模块，并对消息的 From/To 标头实施某些类型检查的应用程序可能会受到诱骗，接受本应拒绝的电子邮件地址。攻击可能与 CVE-2019-11340 中相同；但此 CVE 更普遍地适用于 Python。

CVE-2019-16935

文档 XML-RPC 服务器可通过 server_title 字段导致 XSS。
这种情况会在 Lib/xmlrpc/server.py 中发生。如果使用不受信任输入调用 set_server_title，任意 JavaScript 可被交付给访问此服务器的 http URL 的客户端。

CVE-2019-18348

在 urllib2 中发现一个问题。如果攻击者控制了 url 参数便可能发生 CRLF 注入，urllib.request.urlopen 的第一个参数带有 \r\n（特别是在 URL 的主机部分中）并后跟 HTTP 标头即为一例。这类似于 CVE-2019-9740 查询字符串问题以及 CVE-2019-9947 路径字符串问题

CVE-2020-8492

由于 urllib.request.AbstractBasicAuthHandler 灾难性回溯，Python 允许 HTTP 服务器对客户端进行正则表达式拒绝服务 (ReDoS) 攻击。

CVE-2020-14422

Lib/ipaddress.py 未正确计算 IPv4Interface 和 IPv6Interface 类中的值，使远程攻击者能够造成拒绝服务（前提是包含 IPv4Interface 或 IPv6Interface 对象的字典的性能影响了某个应用程序），并且此攻击者可导致创建很多字典条目。

对于 Debian 9 stretch，已在版本 3.5.3-1+deb9u2 中修复这些问题。

我们建议您升级 python3.5 程序包。

如需了解更多 python3.5 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python3.5

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

来自 Red Hat 安全公告 2019:1587： python 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用和库以及各种窗口系统的接口。 安全补丁： * python：由于功能修复允许 netloc 中的端口号，CVE-2019-9636 回归 (CVE-2019-10160) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的多个程序包受到 RHSA-2019:1700 公告中提及的多个漏洞影响。

  - python：未记录的 local_file 协议允许远程攻击者绕过保护机制 (CVE-2019-9948)

  - python：由于功能修复允许使用 netloc 中的端口号，进而造成 CVE-2019-9636 回归 (CVE-2019-10160)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
127463	Amazon Linux 2 : python3 (ALAS-2019-1259)	Nessus	Amazon Linux Local Security Checks	2019/8/12	2024/5/7	critical
126145	Scientific Linux 安全更新：SL7.x x86_64 中的 python	Nessus	Scientific Linux Local Security Checks	2019/6/24	2024/5/14	critical
139757	Debian DLA-2337-1：python2.7 安全更新	Nessus	Debian Local Security Checks	2020/8/24	2024/2/23	critical
126219	CentOS 7 : python (CESA-2019:1587)	Nessus	CentOS Local Security Checks	2019/6/25	2020/1/10	critical
127815	Amazon Linux AMI：python34 / python35、python36 (ALAS-2019-1259)	Nessus	Amazon Linux Local Security Checks	2019/8/13	2024/5/6	critical
127462	Amazon Linux 2：python (ALAS-2019-1258)	Nessus	Amazon Linux Local Security Checks	2019/8/12	2024/5/7	critical
128631	Ubuntu 16.04 LTS / 18.04 LTS：Python 漏洞 (USN-4127-1)	Nessus	Ubuntu Local Security Checks	2019/9/10	2023/10/20	critical
151496	F5 Networks BIG-IP：Python 漏洞 (K57542514)	Nessus	F5 Networks Local Security Checks	2021/7/12	2024/1/5	critical
127814	Amazon Linux AMI：python27 (ALAS-2019-1258)	Nessus	Amazon Linux Local Security Checks	2019/8/13	2024/5/6	critical
126222	Debian DLA-1834-1：python2.7 安全更新	Nessus	Debian Local Security Checks	2019/6/25	2024/5/14	critical
127440	NewStart CGSL CORE 5.04 / MAIN 5.04：python 多个漏洞 (NS-SA-2019-0160)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical
127446	NewStart CGSL CORE 5.05 / MAIN 5.05：python 多个漏洞 (NS-SA-2019-0163)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical
126089	RHEL 7 : python (RHSA-2019:1587)	Nessus	Red Hat Local Security Checks	2019/6/21	2024/5/15	critical
127986	RHEL 7：Virtualization Manager (RHSA-2019:2437)	Nessus	Red Hat Local Security Checks	2019/8/20	2024/4/28	critical
131244	Amazon Linux AMI：python34 (ALAS-2019-1324)	Nessus	Amazon Linux Local Security Checks	2019/11/25	2024/4/10	critical
138529	Debian DLA-2280-1：python3.5 安全更新	Nessus	Debian Local Security Checks	2020/7/16	2024/3/1	critical
126142	Oracle Linux 7 : python (ELSA-2019-1587)	Nessus	Oracle Linux Local Security Checks	2019/6/24	2024/5/14	critical
194098	RHEL 6/7：python27-python (RHSA-2019:1700)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/4/27	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical