Oracle Linux 8：ol-Automation-manager (ELSA-2022-9341)
critical Nessus 插件 ID 160271
语言：
简介
远程 Oracle Linux 主机缺少一个或多个安全更新。描述
远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2022-9341 公告中提及的多个漏洞的影响。- 在 Twisted Web 19.10.0 及其之前的版本中，存在 HTTP 请求拆分漏洞。当出现两个内容-长度标头时，第一个标头会受到忽略。当第二个内容-长度值设置为零时，请求正文被解释为管道请求。(CVE-2020-10108)
- 在 Twisted Web 19.10.0 及其之前的版本中，存在 HTTP 请求拆分漏洞。当显示 content-length 和分块编码标头时，content-length 优先并且请求正文的其余部分被解释为管道请求。(CVE-2020-10109)
- 在 python-lxml 的清洁模块中发现 XSS 漏洞。模块的解析器未正确模拟浏览器，由此导致审查器和用户页面中的行为不同。远程攻击者可利用此缺陷运行任意 HTML/JS 代码。(CVE-2020-27783)
- 在 PyYAML 5.1 之前版本中，如果与不受信任的数据一起使用 yaml.load() API，则此 API 可能会执行任意代码。5.1 版本已弃用 load() 函数，并引入了“UnsafeLoader”以实现与该函数的向后兼容性。(CVE-2017-18342)
- Django 2.2.24 之前版本、Django 3.x 至 3.1.12 版本以及 Django 3.2.x 至 3.2.4 版本可能会通过 django.contrib.admindocs 进行目录遍历。工作人员可使用 TemplateDetailView 视图检查是否存在任意文件。此外，当（且仅当）应用程序开发人员将默认 admindocs 模板自定义为同时显示文件内容时，不仅会暴露 admindocs 模板，还会暴露文件内容。换句话说，模板根目录以外也会发生目录遍历。(CVE-2021-33203)
- 在 Django 2.2 至 2.2.24 版本、Django 3.x 至 3.1.12 版本以及 Django 3.2 至 3.2.4 版本中，URLValidator、validate_ipv4_address 和 validate_ipv46_address 不会禁止在八进制字面量中使用前导零字符。这可能会允许绕过基于 IP 地址的访问控制。（若使用 Python 3.9.5 以上版本，validate_ipv4_address 和 validate_ipv46_address 将不受影响）。(CVE-2021-33571)
- 在 Django 2.2 版至 2.2.25 版、 3.1 版至 3.1.14 版和 3.2 版至 3.2.10 版中，URL 结尾带有换行符的 HTTP 请求可绕过基于 URL 路径的上游访问控制。(CVE-2021-44420)
- 在 Django 2.2 版的 2.2.21 之前版本、3.1 版的 3.1.9 之前版本以及 3.2 版的 3.2.1 之前版本中，MultiPartParser、UploadedFile 和 FieldFile 允许攻击者通过包含适当构建之文件名的已上传文件发动目录遍历攻击。
(CVE-2021-31542)
- 在 Django 2.2 至 2.2.20 版本、Django 3.0 至 3.0.14 版本以及 Django 3.1 至 3.1.8 版本中，MultiPartParser 允许攻击者通过已上传文件（已构建适当的文件名）发动目录遍历攻击。内置上传处理程序不受此漏洞影响。(CVE-2021-28658)
- lxml 指使用 Python 语言处理 XML 和 HTML 的库。在 4.6.5 之前的版本中，lxml.html 中的 HTML Cleaner 允许某些专门构建的脚本内容以及使用数据 URI 嵌入的 SVG 文件中的脚本内容通过。在与安全性有关的上下文中使用 HTML Cleaner 的用户应升级至 lxml 4.6.5，以便接收补丁。没有已知的解决方法可用。(CVE-2021-43818)
- 在 python-lxml 4.6.3 之前版本的清洁模块中发现 XSS 漏洞。禁用 safe_attrs_only 和 forms 参数时，Cleaner 类不会删除 formaction 属性，导致允许 JS 绕过审查器。远程攻击者可利用此缺陷，对与未正确审查 HTML 进行交互的用户运行任意 JS 代码。已在 lxml 中修复此问题 4.6.3。
(CVE-2021-28957)
请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。
解决方案
更新受影响的 ol-Automation-manager、ol-Automation-manager-cli 和/或 python3-olamkit 程序包。另见
插件详情
严重性: Critical
ID: 160271
文件名: oraclelinux_ELSA-2022-9341.nasl
版本: 1.7
类型: local
代理: unix
发布时间: 2022/4/27
最近更新时间: 2024/10/24
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2021-44420
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2020-10109
CVSS v4
风险因素: Critical
Base Score: 9.3
Threat Score: 8.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2021-28957
漏洞信息
CPE: p-cpe:/a:oracle:linux:ol-automation-manager-cli, p-cpe:/a:oracle:linux:ol-automation-manager, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:python3-olamkit
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
可利用: true
易利用性: Exploits are available
补丁发布日期: 2022/4/27
漏洞发布日期: 2018/6/27
参考资料信息
CVE: CVE-2017-18342, CVE-2020-10108, CVE-2020-10109, CVE-2020-27783, CVE-2021-28658, CVE-2021-28957, CVE-2021-31542, CVE-2021-33203, CVE-2021-33571, CVE-2021-43818, CVE-2021-44420