Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.04 / 23.10 : urllib3 漏洞 (USN-6473-1)
critical Nessus 插件 ID 185342
语言：
简介
远程 Ubuntu 主机缺少一个或多个安全更新。描述
远程 Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.04 / 23.10 主机上安装的多个程序包受到 USN-6473-1 公告中提及的多个漏洞影响。- urllib3 1.24.2 之前的版本未在进行跨源重定向后（即主机、端口或方案不同的重定向）移除授权 HTTP 标头。授权标头中的凭据可能因此泄露给非预期的主机，或以明文格式传输。注意：此问题是因对 CVE-2018-20060（区分大小写）的修复不完整所致。(CVE-2018-25091)
- urllib3 是一个用户友好型的 Python HTTP 客户端库。urllib3 不会特殊对待“Cookie” HTTP 标头，也不会提供任何通过 HTTP 管理 Cookie 的帮助程序，这是用户的责任。
但是，如果用户没有明确禁用重定向，则该用户可能会指定“Cookie”标头，并在不知不觉中通过 HTTP 重定向将信息泄漏到不同的源。此问题已在 urllib3 版本 1.26.17 或 2.0.5 中修复。(CVE-2023-43804)
- urllib3 是一个用户友好型 Python HTTP 客户端库。先前，当请求方法从可以接受请求正文（如 `POST`）更改为 HTTP RFC 要求的 `GET` 后，urllib3 便不会在 HTTP 重定向响应使用状态 301、302 或 303 时删除 HTTP 请求正文。
尽管重定向部分中没有指定此行为，但可以将不同部分的信息拼凑在一起来推断，而且我们已经在其他主要 HTTP 客户端实现（如 curl 和 Web 浏览器）中观察到该行为。由于该漏洞需在先前受信任的服务遭到损坏后才能对机密性产生影响，因此我们认为该漏洞的可利用性较低。此外，多数用户也不会将敏感数据放入 HTTP 请求正文中，如果是这种情况，则该漏洞无法利用。必须满足以下两个条件才会受到此漏洞的影响：1. 使用 urllib3 并在 HTTP 请求正文中提交敏感信息（例如表单数据或 JSON），而且 2. 源服务会遭到损坏，并会开始使用 301、302 或 303 重定向到恶意对等机，或是出现重定向到的服务遭到损坏的情况。
此问题已在 1.26.18 和 2.0.7 版本中解决，建议用户通过更新来解决此问题。无法更新的用户应禁用服务重定向（不希望通过 `redirects=False` 重定向进行响应），并使用 `redirects=False` 禁用自动重定向，亦可通过剥离 HTTP 请求正文来手动处理 301、302 和 303 重定向。(CVE-2023-45803)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 python-urllib3 和/或 python3-urllib3 程序包。另见
插件详情
严重性: Critical
ID: 185342
文件名: ubuntu_USN-6473-1.nasl
版本: 1.2
类型: local
代理: unix
发布时间: 2023/11/7
最近更新时间: 2024/9/18
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.0
CVSS v2
风险因素: High
基本分数: 8.5
时间分数: 6.3
矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:N
CVSS 分数来源: CVE-2023-43804
CVSS v3
风险因素: High
基本分数: 8.1
时间分数: 7.1
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: Critical
Base Score: 9.3
Threat Score: 8.1
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:23.10, p-cpe:/a:canonical:ubuntu_linux:python3-urllib3, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:23.04, cpe:/o:canonical:ubuntu_linux:18.04:-:esm, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:python-urllib3, cpe:/o:canonical:ubuntu_linux:16.04:-:esm
必需的 KB 项: Host/cpu, Host/Debian/dpkg-l, Host/Ubuntu, Host/Ubuntu/release
易利用性: No known exploits are available
补丁发布日期: 2023/11/7
漏洞发布日期: 2023/10/2
参考资料信息
CVE: CVE-2018-25091, CVE-2023-43804, CVE-2023-45803
USN: 6473-1