安全修复：- python-urllib3：跨主机重定向不会移除授权标头，进而导致凭据泄露 (CVE-2018-20060) - python-urllib3：由于未编码 '\r\n' 序列而导致 CRLF 注入，从而导致可能对内部服务攻击 (CVE-2019-11236) - python-requests：从 HTTPS 到 HTTP 的重定向未删除授权标头 (CVE-2018-18074)

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 0850 公告中提及的多个漏洞的影响。

  - python-requests：从 HTTPS 重定向至 HTTP 不会移除授权标头 (CVE-2018-18074)

  - python-urllib3: 跨主机重定向不会移除授权标头，进而导致凭据泄露 (CVE-2018-20060)

  - python-urllib3: 未对“\r\n”序列进行编码造成 CRLF 注入，进而导致内部服务可能遭到攻击 (CVE-2019-11236)

  - python-urllib3: 应该抛出错误时出现不当处理凭证 (CVE-2019-11324)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 2081 公告中提及的多个漏洞的影响。

  - python-requests：从 HTTPS 重定向至 HTTP 不会移除授权标头 (CVE-2018-18074)

  - python-urllib3: 跨主机重定向不会移除授权标头，进而导致凭据泄露 (CVE-2018-20060)

  - python-urllib3: 未对“\r\n”序列进行编码造成 CRLF 注入，进而导致内部服务可能遭到攻击 (CVE-2019-11236)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

运行 MAIN 6.01 版本的远程 NewStart CGSL 主机上安装的 python-pip 程序包受到多个漏洞的影响：

  - 适用于 Python 的 urllib3 库 1.24.2 之前的版本未正确处理某些情况，即需要的 CA 证书集与 CA 证书的 OS 存储不同，从而导致在验证失败为正确结果的情况下，SSL 连接成功。
    这与使用 ssl_context、ca_certs 或 ca_certs_dir 参数相关。(CVE-2019-11324)

  - 在适用于 Python 的 urllib3 库 1.24.1 及其之前版本中，如果攻击者控制请求参数，则可能发生 CRLF 注入。(CVE-2019-11236)

  - urllib3 1.23 之前的版本未在进行跨源重定向后（即主机、端口或方案不同的重定向）移除授权 HTTP 标头。授权标头中的凭据可能因此泄露给非预期的主机，或以明文格式传输。(CVE-2018-20060)

  - 适用于 Python 的请求程序包 2.20.0 之前的版本一经接收具有相同主机名称的 https-to-http 重定向，即会向 http URI 发送 HTTP 授权标头，从而使远程攻击者更容易通过探查网络发现凭据。(CVE-2018-18074)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

运行 CORE 5.05/MAIN 5.05 版本的远程 NewStart CGSL 主机上安装的 python-virtualenv 程序包受到多个漏洞的影响：

  - 在适用于 Python 的 urllib3 库 1.24.1 及其之前版本中，如果攻击者控制请求参数，则可能发生 CRLF 注入。(CVE-2019-11236)

  - urllib3 1.23 之前的版本未在进行跨源重定向后（即主机、端口或方案不同的重定向）移除授权 HTTP 标头。授权标头中的凭据可能因此泄露给非预期的主机，或以明文格式传输。(CVE-2018-20060)

  - 适用于 Python 的请求程序包 2.20.0 之前的版本一经接收具有相同主机名称的 https-to-http 重定向，即会向 http URI 发送 HTTP 授权标头，从而使远程攻击者更容易通过探查网络发现凭据。(CVE-2018-18074)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2019-4182:01 公告中提及的多个漏洞的影响。

    * python-urllib3跨主机重定向不会删除授权标头从而导致凭据泄露 (CVE-2018-20060)
      * python-urllib3由于未编码“\r\n”序列而导致 CRLF 注入从而导致可能对内部服务攻击 (CVE-2019-11236)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 7 主机上安装的一个程序包受到 RHSA-2020:0850 公告中提及的多个漏洞影响。

  - 适用于 Python 的请求程序包 2.20.0 之前的版本一经接收具有相同主机名称的 https-to-http 重定向，即会向 http URI 发送 HTTP 授权标头，从而使远程攻击者更容易通过探查网络发现凭据。(CVE-2018-18074)

  - urllib3 1.23 之前的版本未在进行跨源重定向后（即主机、端口或方案不同的重定向）移除授权 HTTP 标头。授权标头中的凭据可能因此泄露给非预期的主机，或以明文格式传输。(CVE-2018-20060)

  - 在适用于 Python 的 urllib3 库 1.24.1 及其之前版本中，如果攻击者控制请求参数，则可能发生 CRLF 注入。(CVE-2019-11236)

  - 适用于 Python 的 urllib3 库 1.24.2 之前的版本未正确处理某些情况，即需要的 CA 证书集与 CA 证书的 OS 存储不同，从而导致在验证失败为正确结果的情况下，SSL 连接成功。这与使用 ssl_context、ca_certs 或 ca_certs_dir 参数相关。(CVE-2019-11324)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 7 主机上安装的一个程序包受到 RHSA-2020:2081 公告中提及的多个漏洞影响。

  - 适用于 Python 的请求程序包 2.20.0 之前的版本一经接收具有相同主机名称的 https-to-http 重定向，即会向 http URI 发送 HTTP 授权标头，从而使远程攻击者更容易通过探查网络发现凭据。(CVE-2018-18074)

  - urllib3 1.23 之前的版本未在进行跨源重定向后（即主机、端口或方案不同的重定向）移除授权 HTTP 标头。授权标头中的凭据可能因此泄露给非预期的主机，或以明文格式传输。(CVE-2018-20060)

  - 在适用于 Python 的 urllib3 库 1.24.1 及其之前版本中，如果攻击者控制请求参数，则可能发生 CRLF 注入。(CVE-2019-11236)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

python27:2.7 模块的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Python 是一种解释型、交互式、面向对象的编程语言，支持模块、类、异常、高层次的动态数据类型，以及动态输入。安全修复：* numpy：通过传递至在 pickle python 模块中的 numpy.load() 的构造的序列化对象允许任意代码执行 (CVE-2019-6446) * python：通过传递至 urlopen() 的 url 查询部分注入 CRLF (CVE-2019-9740) * python：通过传递至 urlopen() 的 url 路径部分注入 CRLF (CVE-2019-9947) * python：未记录的 local_file 协议允许远程攻击者绕过保护机制 (CVE-2019-9948) python-urllib3：由于未编码 “\r\n” 序列，造成注入 CRLF，导致可能攻击内部服务 (CVE-2019-11236) * python-urllib3：应该抛出错误时出现凭证错误处理 (CVE-2019-11324) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 8.1 发行说明。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 3335 公告中提及的多个漏洞的影响。

  - python-urllib3：未对“\r\n”序列进行编码造成 CRLF 注入，进而导致内部服务可能遭到攻击 (CVE-2019-11236)

  - python-urllib3：应该抛出错误时出现不当处理凭证 (CVE-2019-11324)

  - numpy：在 pickle python 模块的 numpy.load() 中传递的构建序列化对象可造成任意代码执行 (CVE-2019-6446)

  - python：通过传递至 urlopen() 的 URL 查询部分注入 CRLF (CVE-2019-9740)

  - python：通过传递至 urlopen() 的 URL 路径部分注入 CRLF (CVE-2019-9947)

  - python：未记录的 local_file 协议允许远程攻击者绕过保护机制 (CVE-2019-9948)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
134650	Scientific Linux 安全更新：SL7.x 中的 python-virtualenv (noarch) (20200317)	Nessus	Scientific Linux Local Security Checks	2020/3/18	2024/3/21	critical
134826	RHEL 7：python-pip (RHSA-2020: 0850)	Nessus	Red Hat Local Security Checks	2020/3/23	2024/11/7	critical
136517	RHEL 7：python-virtualenv (RHSA-2020: 2081)	Nessus	Red Hat Local Security Checks	2020/5/12	2024/11/7	critical
138769	NewStart CGSL MAIN 6.01：python-pip 多个漏洞 (NS-SA-2020-0035)	Nessus	NewStart CGSL Local Security Checks	2020/7/21	2024/2/29	critical
143977	NewStart CGSL CORE 5.05 / MAIN 5.05：python-virtualenv 多个漏洞 (NS-SA-2020-0118)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2024/2/5	critical
289003	MagicLinux 7python-urllib3-1.10.2-7.el7 (AXSA:2019-4182:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	critical
134903	CentOS 7：python-pip (RHSA-2020:0850)	Nessus	CentOS Local Security Checks	2020/3/26	2024/10/9	critical
208498	CentOS 7：python-virtualenv (RHSA-2020:2081)	Nessus	CentOS Local Security Checks	2024/10/9	2024/10/9	critical
130527	RHEL 8 : python27:2.7 (RHSA-2019:3335)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/11/7	critical
145618	CentOS 8：python27: 2.7 (CESA-2019: 3335)	Nessus	CentOS Local Security Checks	2021/1/29	2024/1/25	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical