CentOS Linux 6 主机上存在安装的程序包，该程序包受到 TuxCare CENTOS6：CLSA-2026：2026：1778769563公告中提及的多个漏洞的影响。

  - Python 2.7.14 容易受到堆缓冲区溢出以及堆释放后使用的影响。之前的 Python 版本 2.7.14 也可能容易受到影响，Python 和之前版本似乎 2.7.17 也容易受到影响，但是尚未确认这一点。乘法线程处理大量数据时存在此漏洞。在这两种情况下，本质上都会发生争用条件。对于堆缓冲区溢出，线程 2 正在创建缓冲区的大小，但线程 1 已经在不知道要写入多少的情况下写入缓冲区。因此，当处理大量数据时，很容易利用堆缓冲区溢出造成内存损坏。至于释放后使用，thread3->malloc->thread1->free's->thread2-re-uses-free'd 内存。PSRT 已声明这不是安全漏洞，因为攻击者必须能够运行代码，但是在某些情况下（例如作为服务运行），攻击者可能利用此漏洞违反信任边界，因此 DWF 认为此问题值得 CVE。（CVE-2018-1000030）

  - 在 Python 2.x 至 2.7.17 版本的 urllib2 以及 Python 3.x 至 3.8.0 版本的 urllib 中发现问题。
    如果攻击者控制了 url 参数便可能发生 CRLF 注入，urllib.request.urlopen 的第一个参数带有 \r\n（特别是在 URL 的主机部分中）并后跟 HTTP 标头即为一例。这类似于 CVE-2019-9740 查询字符串问题以及 CVE-2019-9947 路径字符串问题。
    （对 glibc 修复 CVE-2016-10739 后，攻击者就无法再利用此问题。）已在以下版本中修复此问题：v2.7.18、v2.7.18rc1;
    v3.5.10、v3.5.10rc1；v3.6.11、v3.6.11rc1、v3.6.12；v3.7.8、v3.7.8rc1、v3.7.9；v3.8.3、v3.8.3rc1、v3.8.4、v3.8.4rc1、v3.8.5、v3.8.6、v3.8.6rc1。(CVE-2019-18348)

  - 在 Python 2.x 至 2.7.16 版本的 urllib2 以及 Python 3.x 至 3.7.3 版本的 urllib 中发现问题。
    如果攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中）且后跟 HTTP 标头或 Redis 命令即为一例。此问题已在以下版本中修复：v2.7.17、v2.7.17rc1、v2.7.18、v2.7.18rc1；v3.5.10、v3.5.10rc1、v3.5.8、v3.5.8rc1、v3.5.8rc2、v3.5.9；v3.6.10、v3.6.10rc1、v3.6.11、v3.6.11rc1、v3.6.12、v3.6.9、v3.6.9rc1；v3.7.4、v3.7.4rc1、v3.7.4rc2、v3.7.5、v3.7.5rc1、v3.7.6、v3.7.6rc1、v3.7.7、v3.7.7rc1、v3.7.8、v3.7.8rc1、v3.7.9。(CVE-2019-9740)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

CentOS Linux 6 [TuxCare] 安全更新：python / python-devel / python-libs / python-test / python-tools 等多个漏洞（CENTOS6：CLSA-2026：1778769563）

medium Nessus 插件 ID 351611

未找到依赖项

检测

CentOS Linux 6 [TuxCare] 安全更新：python / python-devel / python-libs / python-test / python-tools 等多个漏洞 （CENTOS6：CLSA-2026：1778769563）

medium Nessus 插件 ID 351611

未找到依赖项

CentOS Linux 6 [TuxCare] 安全更新：python / python-devel / python-libs / python-test / python-tools 等多个漏洞（CENTOS6：CLSA-2026：1778769563）