远程 Redhat Enterprise Linux 6/7 主机上安装的多个程序包受到 RHSA-2019:3725 公告中提及的多个漏洞影响。

  - python：在 pop3lib 中，通过 apop() 方法中的正则表达式灾难性回溯进行 DOS (CVE-2018-1060)

  - python：在 difflib 中，通过 difflib.IS_LINE_JUNK 方法中的正则表达式回溯进行 DOS (CVE-2018-1061)

  - python：_elementtree.c 模块中缺失 salt 初始化 (CVE-2018-14647)

  - python：如果序列化 GB 级的数据，Module/_pickle.c 中的整数溢出会导致内存耗尽 (CVE-2018-20406)

  - python：Cookie 域检查未返回正确结果 (CVE-2018-20852)

  - python：使用构建的 X509 证书造成空指针取消引用 (CVE-2019-5010)

  - python：通过传递至 urlopen() 的 url 查询部分注入 CRLF (CVE-2019-9740)

  - python：通过传递至 urlopen() 的 url 路径部分注入 CRLF (CVE-2019-9947)

  - python：未记录的 local_file 协议允许远程攻击者绕过保护机制 (CVE-2019-9948)

  - python：email.utils.parseaddr 错误解析电子邮件地址 (CVE-2019-16056)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6/7：rh-python36-python (RHSA-2019:3725)

critical Nessus 插件 ID 194161

未找到变更日志