来自 Red Hat 安全公告 2019:0984： python36:3.6 模块的更新现可用于 Red Hat Enterprise Linux 8。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用和库的接口，以及多种 Window 系统的接口。 SQLAlchemy 是一个对象关系映射程序 (ORM)，提供灵活的高级 SQL 数据库接口。 安全补丁： * python-sqlalchemy：可以控制 order_by 参数时的 SQL 注入 (CVE-2019-7164) * python-sqlalchemy：可以控制 group_by 参数时的 SQL 注入 (CVE-2019-7548) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Python SQL 工具包和对象关系映射程序 SQLALchemy 中发现两个漏洞。CVE-2019-7164 通过 order_by 参数，SQLAlchemy 允许 SQL 注入。CVE-2019-7548 当可以控制 group_by 参数时，SQLAlchemy 中存在 SQL 注入。SQLAlchemy 项目警告，这些安全修复破坏了极少使用的文本强制功能。对于 Debian 8“Jessie”，这些问题已在 0.9.8+dfsg-0.1+deb8u1 版本中修复。建议您升级 sqlalchemy 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

python27:2.7 模块的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Python 是一种解释型、交互式、面向对象的编程语言，支持模块、类、异常、高层次的动态数据类型，以及动态输入。SQLAlchemy 是一个对象关系映射程序 (ORM)，提供灵活的高级 SQL 数据库接口。安全修复：* python：由于 urlsplit 未妥善规范 NFKC 导致信息泄露 (CVE-2019-9636) * python-sqlalchemy：当可以控制 order_by 参数时，发生 SQL 注入 (CVE-2019-7164) * python-sqlalchemy：当 group_by parameter 可受到控制时，存在 SQL 注入 (CVE-2019-7548) 有关安全问题的详细信息，包括影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

python27:2.7モジュールの更新プログラムがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pythonはインタープリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、高レベル動的データタイプ、動的タイプ指定をサポートしています。SQLAlchemyはObject Relational Mapper（ORM）で、SQLデータベースに対し、柔軟で高レベルのインターフェイスを提供します。セキュリティ修正プログラム：* python：urlsplitの不適切なNFKC正規化による情報漏えい（CVE-2019-9636）* python-sqlalchemy：order_byパラメーターを制御できるときのSQLインジェクション（CVE-2019-7164）* python-sqlalchemy：group_byパラメーターを制御できるときのSQLインジェクション（CVE-2019-7548）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

出典：Red Hat Security Advisory 2019：0981：python27:2.7モジュールの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pythonはインタープリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、高レベル動的データタイプ、動的タイプ指定をサポートしています。SQLAlchemyはObject Relational Mapper（ORM）で、SQLデータベースに対し、柔軟で高レベルのインターフェイスを提供します。セキュリティ修正プログラム：* python：urlsplitの不適切なNFKC正規化による情報漏えい（CVE-2019-9636）* python-sqlalchemy：order_byパラメーターを制御できるときのSQLインジェクション（CVE-2019-7164）* python-sqlalchemy：group_byパラメーターを制御できるときのSQLインジェクション（CVE-2019-7548）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

出典：Red Hat Security Advisory 2019：0984：python36:3.6モジュールの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pythonはインタープリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、非常に高レベルの動的データタイプ、動的タイプ指定を含みます。Pythonは、多数のシステムコールやライブラリ、さまざまなウィンドウシステムのインターフェイスをサポートしています。SQLAlchemyはObject Relational Mapper（ORM）で、SQLデータベースに対し、柔軟で高レベルのインターフェイスを提供します。セキュリティ修正プログラム：* python-sqlalchemy：order_byパラメーターを制御できるときのSQLインジェクション（CVE-2019-7164）* python-sqlalchemy：group_byパラメーターを制御できるときのSQLインジェクション（CVE-2019-7548）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Python SQLツールキットおよびオブジェクト関係マッパーであるSQLALchemyに2つの脆弱性が見つかりました。

CVE-2019-7164

SQLAlchemyでは、order_byパラメーターを介してSQLインジェクションが可能です。

CVE-2019-7548

SQLAlchemyには、group_byパラメーターを制御できるときのSQLインジェクションがあります。

SQLAlchemyプロジェクトは、これらのセキュリティ修正が、あまり使用されないテキスト強制機能を故障させることを警告しています。

Debian 8「Jessie」では、これらの問題はバージョン0.9.8+dfsg-0.1+deb8u1で修正されました。

お使いのsqlalchemyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

python-SQLAlchemy用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-7164：order_byパラメーターを介してSQLインジェクションを修正しました（bsc#1124593）。

  - CVE-2019-7548：group_byパラメーターを介してSQLインジェクションを修正しました（bsc#1124593）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

python-SQLAlchemy用のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-7164：order_byパラメーターを介してSQLインジェクションを修正しました（bsc#1124593）。

  - CVE-2019-7548：group_byパラメーターを介してSQLインジェクションを修正しました（bsc#1124593）。

この更新はSUSEからインポートされました：SLE-15-SP1：更新プロジェクトを更新します。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
127573	Oracle Linux 8 : python36:3.6 (ELSA-2019-0984)	Nessus	Oracle Linux Local Security Checks	2019/8/12	2024/11/1	critical
122930	Debian DLA-1718-1：sqlalchemy 安全更新	Nessus	Debian Local Security Checks	2019/3/19	2024/6/13	critical
124668	RHEL 8 : python27:2.7 (RHSA-2019:0981)	Nessus	Red Hat Local Security Checks	2019/5/7	2024/11/6	critical
124668	RHEL 8：python27:2.7（RHSA-2019:0981）	Nessus	Red Hat Local Security Checks	2019/5/7	2024/11/6	critical
127571	Oracle Linux 8：python27:2.7（ELSA-2019-0981）	Nessus	Oracle Linux Local Security Checks	2019/8/12	2024/11/1	critical
127573	Oracle Linux 8：python36:3.6（ELSA-2019-0984）	Nessus	Oracle Linux Local Security Checks	2019/8/12	2024/11/1	critical
122930	DebianDLA-1718-1: sqlalchemyのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/19	2024/6/13	critical
128455	openSUSEセキュリティ更新プログラム：python-SQLAlchemy（openSUSE-2019-2039）	Nessus	SuSE Local Security Checks	2019/9/3	2024/4/30	critical
128519	openSUSEセキュリティ更新プログラム：python-SQLAlchemy（openSUSE-2019-2064）	Nessus	SuSE Local Security Checks	2019/9/5	2024/4/29	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical