远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2019:3704 中提及的漏洞的影响。

  - ** 存在争议 ** 在 NumPy 1.16.0 及其之前版本中发现了一个问题。它可以不安全的方式使用 pickle Python 模块，从而允许远程攻击者通过特制的序列化对象执行任意代码，numpy.load 调用即为一例。注意第三方对此问题存在争议因为这是合法应用程序可能例如从受信任且经过身份验证的来源加载序列化的 Python 对象数组的行为。 (CVE-2019-6446)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

python27:2.7 模块的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Python 是一种解释型、交互式、面向对象的编程语言，支持模块、类、异常、高层次的动态数据类型，以及动态输入。安全修复：* numpy：通过传递至在 pickle python 模块中的 numpy.load() 的构造的序列化对象允许任意代码执行 (CVE-2019-6446) * python：通过传递至 urlopen() 的 url 查询部分注入 CRLF (CVE-2019-9740) * python：通过传递至 urlopen() 的 url 路径部分注入 CRLF (CVE-2019-9947) * python：未记录的 local_file 协议允许远程攻击者绕过保护机制 (CVE-2019-9948) python-urllib3：由于未编码 “\r\n” 序列，造成注入 CRLF，导致可能攻击内部服务 (CVE-2019-11236) * python-urllib3：应该抛出错误时出现凭证错误处理 (CVE-2019-11324) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 8.1 发行说明。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 3335 公告中提及的多个漏洞的影响。

  - python-urllib3：未对“\r\n”序列进行编码造成 CRLF 注入，进而导致内部服务可能遭到攻击 (CVE-2019-11236)

  - python-urllib3：应该抛出错误时出现不当处理凭证 (CVE-2019-11324)

  - numpy：在 pickle python 模块的 numpy.load() 中传递的构建序列化对象可造成任意代码执行 (CVE-2019-6446)

  - python：通过传递至 urlopen() 的 URL 查询部分注入 CRLF (CVE-2019-9740)

  - python：通过传递至 urlopen() 的 URL 路径部分注入 CRLF (CVE-2019-9947)

  - python：未记录的 local_file 协议允许远程攻击者绕过保护机制 (CVE-2019-9948)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 3704 公告中提及的漏洞的影响。

  - numpy：在 pickle python 模块的 numpy.load() 中传递的构建序列化对象可造成任意代码执行 (CVE-2019-6446)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 之前的 NumPy 中发现一个问题 1.16.3。它可以不安全的方式使用 pickle Python 模块，从而允许远程攻击者通过特制的序列化对象执行任意代码，numpy.load 调用即为一例。注意第三方对此问题存在争议因为这是合法应用程序可能例如从受信任且经过身份验证的来源加载序列化的 Python 对象数组的行为。 (CVE-2019-6446)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Oracle Linux 8 主机上安装的多个程序包受到 ELSA-2019-3704 公告中提及的漏洞的影响。

  - ** 存在争议 ** 在 NumPy 1.16.0 及其之前版本中发现了一个问题。它可以不安全的方式使用 pickle Python 模块，从而允许远程攻击者通过特制的序列化对象执行任意代码，numpy.load 调用即为一例。注意：第三方对此问题存在争议，因为这种行为可能会让合法的应用程序（例如）从受信任且经过身份验证的源加载序列化 Python 对象数组。(CVE-2019-6446)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

numpy 更新现可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。numpy 程序包提供 NumPY。NumPY 是 Python 编程语言的扩展，支持大型多维数组和矩阵，提供运行此类数组的数学函数库。安全修复：* numpy：传递到 pickle python 模块中 numpy.load() 构造的序列化对象允许任意代码执行 (CVE-2019-6446) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 8.1 发行说明。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2019-3335 公告中提及的多个漏洞的影响。

  - 在 Python 2.x 至 2.7.16 版本的 urllib2 以及 Python 3.x 至 3.7.3 版本的 urllib 中发现问题。
    如果攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中）且后跟 HTTP 标头或 Redis 命令即为一例。此问题已在以下版本中修复：v2.7.17、v2.7.17rc1、v2.7.18、v2.7.18rc1；v3.5.10、v3.5.10rc1、v3.5.8、v3.5.8rc1、v3.5.8rc2、v3.5.9；v3.6.10、v3.6.10rc1、v3.6.11、v3.6.11rc1、v3.6.12、v3.6.9、v3.6.9rc1；v3.7.4、v3.7.4rc1、v3.7.4rc2、v3.7.5、v3.7.5rc1、v3.7.6、v3.7.6rc1、v3.7.7、v3.7.7rc1、v3.7.8、v3.7.8rc1、v3.7.9。(CVE-2019-9740)

  - 在 Python 2.x 至 2.7.16 版本的 urllib2 以及 Python 3.x 至 3.7.3 版本的 urllib 中发现问题。
    如果攻击者控制了 url 参数便可能发生 CRLF 注入，urllib.request.urlopen 的第一个参数带有 \r\n（特别是在缺少 ? 的 URL 的路径部分中）并后跟 HTTP 标头或 Redis 命令即为一例。这与 CVE-2019-9740 的查询字符串问题相似。
    此问题已在以下版本中修复：v2.7.17、v2.7.17rc1、v2.7.18、v2.7.18rc1；v3.5.10、v3.5.10rc1、v3.5.8、v3.5.8rc1、v3.5.8rc2、v3.5.9；v3.6.10、v3.6.10rc1、v3.6.11、v3.6.11rc1、v3.6.12、v3.6.9、v3.6.9rc1；v3.7.4、v3.7.4rc1、v3.7.4rc2、v3.7.5、v3.7.5rc1、v3.7.6、v3.7.6rc1、v3.7.7、v3.7.7rc1、v3.7.8、v3.7.8rc1、v3.7.9。
    (CVE-2019-9947)

  - Python 2.x 到 2.7.16 中的 urllib 支持 local_file: scheme，这让远程攻击者更容易绕过黑名单文件：URI 的保护机制，触发 urllib.urlopen('local_file: ///etc/passwd') 调用。(CVE-2019-9948)

  - 在适用于 Python 的 urllib3 库 1.24.1 及其之前版本中，如果攻击者控制请求参数，则可能发生 CRLF 注入。(CVE-2019-11236)

  - ** 存在争议 ** 在 NumPy 1.16.0 及其之前版本中发现了一个问题。它可以不安全的方式使用 pickle Python 模块，从而允许远程攻击者通过特制的序列化对象执行任意代码，numpy.load 调用即为一例。注意：第三方对此问题存在争议，因为这种行为可能会让合法的应用程序（例如）从受信任且经过身份验证的源加载序列化 Python 对象数组。(CVE-2019-6446)

  - 适用于 Python 的 urllib3 库 1.24.2 之前的版本未正确处理某些情况，即需要的 CA 证书集与 CA 证书的 OS 存储不同，从而导致在验证失败为正确结果的情况下，SSL 连接成功。这与使用 ssl_context、ca_certs 或 ca_certs_dir 参数相关。(CVE-2019-11324)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2019:3335 中提及的多个漏洞的影响。

  - 在适用于 Python 的 urllib3 库 1.24.1 及其之前版本中，如果攻击者控制请求参数，则可能发生 CRLF 注入。(CVE-2019-11236)

  - 适用于 Python 的 urllib3 库 1.24.2 之前的版本未正确处理某些情况，即需要的 CA 证书集与 CA 证书的 OS 存储不同，从而导致在验证失败为正确结果的情况下，SSL 连接成功。这与使用 ssl_context、ca_certs 或 ca_certs_dir 参数相关。(CVE-2019-11324)

  - ** 存在争议 ** 在 NumPy 1.16.0 及其之前版本中发现了一个问题。它可以不安全的方式使用 pickle Python 模块，从而允许远程攻击者通过特制的序列化对象执行任意代码，numpy.load 调用即为一例。注意第三方对此问题存在争议因为这是合法应用程序可能例如从受信任且经过身份验证的来源加载序列化的 Python 对象数组的行为。 (CVE-2019-6446)

  - 在 Python 2.x 至 2.7.16 版本的 urllib2 以及 Python 3.x 至 3.7.3 版本的 urllib 中发现问题。
    如果攻击者控制了 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中）且后跟 HTTP 标头或 Redis 命令即为一例。此问题已在以下版本中修复：v2.7.17、v2.7.17rc1、v2.7.18、v2.7.18rc1；v3.5.10、v3.5.10rc1、v3.5.8、v3.5.8rc1、v3.5.8rc2、v3.5.9；v3.6.10、v3.6.10rc1、v3.6.11、v3.6.11rc1、v3.6.12、v3.6.9、v3.6.9rc1；v3.7.4、v3.7.4rc1、v3.7.4rc2、v3.7.5、v3.7.5rc1、v3.7.6、v3.7.6rc1、v3.7.7、v3.7.7rc1、v3.7.8、v3.7.8rc1、v3.7.9。(CVE-2019-9740)

  - 在 Python 2.x 至 2.7.16 版本的 urllib2 以及 Python 3.x 至 3.7.3 版本的 urllib 中发现问题。
    如果攻击者控制了 url 参数便可能发生 CRLF 注入，urllib.request.urlopen 的第一个参数带有 \r\n（特别是在缺少 ? 的 URL 的路径部分中）并后跟 HTTP 标头或 Redis 命令即为一例。这与 CVE-2019-9740 的查询字符串问题相似。
    此问题已在以下版本中修复：v2.7.17、v2.7.17rc1、v2.7.18、v2.7.18rc1；v3.5.10、v3.5.10rc1、v3.5.8、v3.5.8rc1、v3.5.8rc2、v3.5.9；v3.6.10、v3.6.10rc1、v3.6.11、v3.6.11rc1、v3.6.12、v3.6.9、v3.6.9rc1；v3.7.4、v3.7.4rc1、v3.7.4rc2、v3.7.5、v3.7.5rc1、v3.7.6、v3.7.6rc1、v3.7.7、v3.7.7rc1、v3.7.8、v3.7.8rc1、v3.7.9。
    (CVE-2019-9947)

  - Python 2.x 至 2.7.16 中的 urllib 支持 local_file: scheme，这让远程攻击者更容易绕过黑名单文件：URI 的保护机制，触发 urllib.urlopen('local_file:///etc/passwd') 调用即为一例。(CVE-2019-9948)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
185056	Rocky Linux 8numpy (RLSA-2019:3704)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/7	critical
130527	RHEL 8 : python27:2.7 (RHSA-2019:3335)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/11/7	critical
145618	CentOS 8：python27: 2.7 (CESA-2019: 3335)	Nessus	CentOS Local Security Checks	2021/1/29	2024/1/25	critical
145639	CentOS 8：numpy (CESA-2019: 3704)	Nessus	CentOS Local Security Checks	2021/1/29	2024/1/25	critical
222871	Linux Distros 未修补的漏洞：CVE-2019-6446	Nessus	Misc.	2025/3/4	2025/8/8	critical
180751	Oracle Linux 8：numpy (ELSA-2019-3704)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	critical
130571	RHEL 8 : numpy (RHSA-2019:3704)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/11/7	critical
180874	Oracle Linux 8：python27：2.7 (ELSA-2019-3335)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/11/1	critical
184906	Rocky Linux 8 python27:2.7 (RLSA-2019:3335)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/7	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical