Oracle Linux 8:python38: 3.8 / 和 / python38-devel: 3.8 (ELSA-2022-1764)

high Nessus 插件 ID 161294

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

远程 Oracle Linux 8 主机上安装的多个程序包受到 ELSA-2022-1764 公告中提及的多个漏洞影响。

- urllib 的 AbstractBasicAuthHandler 类中存在一个缺陷。如果攻击者可以控制 HTTP 客户端(例如 Web 浏览器)连接到的恶意 HTTP 服务器,则有可能在使用由服务器发送到客户端的特制负载请求身份验证期间,触发正则表达式拒绝服务 (ReDOS)。 此缺陷对应用程序可用性的威胁最大。
(CVE-2021-3733)

- lxml 指使用 Python 语言处理 XML 和 HTML 的库。在 4.6.5 之前的版本中,lxml.html 中的 HTML Cleaner 允许某些专门构建的脚本内容以及使用数据 URI 嵌入的 SVG 文件中的脚本内容通过。在与安全性有关的上下文中使用 HTML Cleaner 的用户应升级至 lxml 4.6.5,以便接收补丁。没有已知的解决方法可用。(CVE-2021-43818)

- 在 Python 中发现一个缺陷,尤其是在 urllib.parse 模块中。此模块有助于将统一资源定位器 (URL) 字符串拆分为多个组件。此问题涉及 urlparse 方法如何不审查输入并允许 URL 路径中包含“\r”和“”等字符。此缺陷允许攻击者输入构建的 URL,从而导致注入攻击。此缺陷影响 Python 3.10.0b1、3.9.5、3.8.11、3.7.11 和 3.6.14 之前版本。(CVE-2022-0391)

- 在 python 中发现一个缺陷。python 的 HTTP 客户端代码中存在未正确处理的 HTTP 响应,因此可能允许控制 HTTP 服务器的远程攻击者使客户端脚本进入无限循环,从而消耗 CPU 时间。此漏洞最大的威胁在于系统可用性。(CVE-2021-3737)

请注意,Nessus 尚未测试这些问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

更新受影响的程序包。

另见

https://linux.oracle.com/errata/ELSA-2022-1764.html

插件详情

严重性: High

ID: 161294

文件名: oraclelinux_ELSA-2022-1764.nasl

版本: 1.6

类型: local

代理: unix

发布时间: 2022/5/18

最近更新时间: 2024/10/22

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5.3

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2021-43818

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.7

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

CVSS 分数来源: CVE-2022-0391

漏洞信息

CPE: p-cpe:/a:oracle:linux:python38-urllib3, p-cpe:/a:oracle:linux:python38-asn1crypto, p-cpe:/a:oracle:linux:python38-numpy, p-cpe:/a:oracle:linux:python38-packaging, p-cpe:/a:oracle:linux:python38-pyparsing, p-cpe:/a:oracle:linux:python38-cryptography, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:python38-cffi, p-cpe:/a:oracle:linux:python38-requests, p-cpe:/a:oracle:linux:python38-markupsafe, p-cpe:/a:oracle:linux:python38-setuptools, p-cpe:/a:oracle:linux:python38-pymysql, p-cpe:/a:oracle:linux:python38-cython, p-cpe:/a:oracle:linux:python38-pip-wheel, p-cpe:/a:oracle:linux:python38-scipy, p-cpe:/a:oracle:linux:python38-devel, p-cpe:/a:oracle:linux:python38-pyyaml, p-cpe:/a:oracle:linux:python38-psycopg2-doc, p-cpe:/a:oracle:linux:python38-pysocks, p-cpe:/a:oracle:linux:python38-chardet, p-cpe:/a:oracle:linux:python38-psycopg2, p-cpe:/a:oracle:linux:python38-numpy-f2py, p-cpe:/a:oracle:linux:python38-py, p-cpe:/a:oracle:linux:python38-wcwidth, p-cpe:/a:oracle:linux:python38-idna, p-cpe:/a:oracle:linux:python38-numpy-doc, p-cpe:/a:oracle:linux:python38-psycopg2-tests, p-cpe:/a:oracle:linux:python38-babel, p-cpe:/a:oracle:linux:python38-debug, p-cpe:/a:oracle:linux:python38, p-cpe:/a:oracle:linux:python38-wheel, p-cpe:/a:oracle:linux:python38-wheel-wheel, p-cpe:/a:oracle:linux:python38-libs, p-cpe:/a:oracle:linux:python38-test, p-cpe:/a:oracle:linux:python38-pytest, p-cpe:/a:oracle:linux:python38-ply, p-cpe:/a:oracle:linux:python38-psutil, p-cpe:/a:oracle:linux:python38-pytz, p-cpe:/a:oracle:linux:python38-pluggy, p-cpe:/a:oracle:linux:python38-mod_wsgi, p-cpe:/a:oracle:linux:python38-pycparser, p-cpe:/a:oracle:linux:python38-six, p-cpe:/a:oracle:linux:python38-jinja2, p-cpe:/a:oracle:linux:python38-more-itertools, p-cpe:/a:oracle:linux:python38-pip, p-cpe:/a:oracle:linux:python38-attrs, p-cpe:/a:oracle:linux:python38-lxml, p-cpe:/a:oracle:linux:python38-rpm-macros, p-cpe:/a:oracle:linux:python38-tkinter, p-cpe:/a:oracle:linux:python38-idle, p-cpe:/a:oracle:linux:python38-setuptools-wheel, p-cpe:/a:oracle:linux:python38-atomicwrites

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux

可利用: true

易利用性: Exploits are available

补丁发布日期: 2022/5/17

漏洞发布日期: 2021/9/20

参考资料信息

CVE: CVE-2021-3733, CVE-2021-3737, CVE-2021-43818, CVE-2022-0391

IAVA: 2021-A-0497-S