远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2019:0981 中提及的多个漏洞的影响。

  - 通过 order_by 参数，1.2.17 之前的 SQLAlchemy 及 1.3.0b2 之前的 1.3.x 允许 SQL 注入。
    (CVE-2019-7164)

  - 当可以控制 group_by 参数时，SQLAlchemy 1.2.17 中存在 SQL 注入漏洞。(CVE-2019-7548)

  - Python 2.7.x 到 2.7.16 和 3.x 到 3.7.2 的影响 NFKC 规范化期间的 Unicode 编码处理不当具有错误的 netloc。影响为：信息泄露（针对给定主机名缓存的凭据、cookie 等）。组件为：urllib.parse.urlsplit、urllib.parse.urlparse。攻击向量为：一个可能被错误解析的特制 URL，用来定位 cookie 或验证数据，并将该信息发送至与正确解析时不同的主机。
    已在以下版本中修复：v2.7.17、v2.7.17rc1、v2.7.18、v2.7.18rc1；v3.5.10、v3.5.10rc1、v3.5.7、v3.5.8、v3.5.8rc1、v3.5.8rc2、v3.5.9；v3.6.10、v3.6.10rc1、v3.6.11、v3.6.11rc1、v3.6.12、v3.6.9、v3.6.9rc1；
    v3.7.3、v3.7.3rc1、v3.7.4、v3.7.4rc1、v3.7.4rc2、v3.7.5、v3.7.5rc1、v3.7.6、v3.7.6rc1、v3.7.7、v3.7.7rc1、 v3.7.8、v3.7.8rc1、v3.7.9。(CVE-2019-9636)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rocky Linux 8 python27:2.7 (RLSA-2019:0981)

critical Nessus 插件 ID 184893

版本 1.1