Debian DLA-2686-1：python-urllib3 安全更新

critical Nessus 插件 ID 150806

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 Python 的 HTTP 客户端 python-urllib3 中发现多个漏洞。

CVE-2018-20060

Urllib3 未在进行跨源重定向后（即，主机、端口或方案不同的重定向）移除授权 HTTP 标头。授权标头中的凭证可能因此泄露给非预期的主机，或以明文格式传输。

CVE-2019-11236

如果攻击者控制请求参数，则可能发生 CRLF 注入。

CVE-2019-11324

Urllib3 未正确处理某些情况，即需要的 CA 证书集与 CA 证书的 OS 存储不同，从而导致在验证失败为正确结果的情况下，SSL 连接成功。这与使用 ssl_context、ca_certs 或 ca_certs_dir 参数相关。

CVE-2020-26137

如果攻击者控制 HTTP 请求方法，则 Urllib3 会允许 CRLF 注入，这一点已通过在 putrequest() 的第一个参数中插入 CR 和 LF 控制字符证实。

对于 Debian 9 Stretch，已在版本 1.19.1-1+deb9u1 中修复这些问题。

我们建议您升级 python-urllib3 程序包。

如需了解 python-urllib3 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-urllib3

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。