远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2016:1628 公告中提及的多个漏洞影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * 发现 Python CGIHandler 类未正确保护 CGI 上下文中的 HTTP_PROXY 变量名称，使其不发生冲突。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 Python CGI 脚本执行的 HTTP 请求重新定向至受攻击者控制的代理。
    (CVE-2016-1000110)

    * 发现当无法在 SMTP.starttls() 函数中建立 StartTLS 时，Python 的 smtplib 库未返回异常。中间人攻击者可剥离 STARTTLS 命令而不在 Python SMTP 客户端应用程序中产生异常，进而阻止建立 TLS 层。(CVE-2016-0772)

    * 发现 Python 的 httplib 库（用于 urllib、urllib2 和其他库）未正确检查 HTTPConnection.putheader() 函数参数。攻击者可利用此缺陷，将其他标头注入允许用户提供标头名称或值的 Python 应用程序。(CVE-2016-5699)

    Red Hat 在此感谢 Scott Geary (VendHQ) 报告 CVE-2016-1000110。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6 / 7：python27-python (RHSA-2016:1628)

medium Nessus 插件 ID 210219

版本 1.1