Oracle Linux 6 / 7：python-twisted-web (ELSA-2016-1978)

medium Nessus 插件 ID 93804

语言：

简介

远程 Oracle Linux 主机缺少安全更新。

描述

来自 Red Hat 安全公告 2016:1978：

python-twisted-web 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，该系统针对每个漏洞给出详细的严重性评级。

Twisted 是基于事件的框架，适用于 Internet 应用程序。Twisted Web 是完整的 Web 服务器，旨在利用 Twisted 和 Python 托管 Web 应用程序，但也完全能为静态页面服务。

安全修复：

*已发现 python-twisted-web 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。
(CVE-2016-1000111)

注意：在此更新后，python-twisted-web 将不再通过 HTTP_PROXY 环境变量将 Proxy 请求标头的值传递到脚本。

Red Hat 在此感谢 Scott Geary (VendHQ) 报告此问题。