Python 3.7.5は、Python 3.7の5つ目の最新のメンテナンスリリースです 。

CVE-2019-16056のセキュリティ修正が含まれます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

2.7.16まで、3.5.7までの3.x、3.6.9までの3.6.x、3.7.4までの3.7.xのPythonで問題が見つかりました。電子メールモジュールが、複数の「@」文字を含むメールアドレスを不適切に解析します。この電子メールモジュールを使用し、メッセージのFrom/Toヘッダーにある種のチェックを実装しているアプリケーションは、拒否すべきメールアドレスを受け入れるよう誘導される可能性があります。攻撃はCVE-2019-11340にあるものと同じ可能性があります。ただし、このCVEは、このCVEはより広くPythonに該当します。（CVE-2019-16056）

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 1132アドバイザリに記載されている脆弱性の影響を受けます。

  - python：Cookieドメインチェックが不適切な結果を返す（CVE-2018-20852）

  - python：email.utils.parseaddrが電子メールアドレスを誤って解析する（CVE-2019-16056）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2020:1131 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - python: Cookie ドメインチェックが不適切な結果を返します (CVE-2018-20852)

  - python: email.utils.parseaddrが電子メールアドレスを誤って解析する (CVE-2019-16056)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの CentOS Linux 7 ホストに、RHSA-2020:1131 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.7.3より前の Python の Lib/http/cookiejar.py にある http.cookiejar.DefaultPolicy.domain_return_ok はドメインを正しく検証しません。このため、既存の Cookie を誤ったサーバーに送信するよう誘導される可能性があります。攻撃者が、別の有効なホスト名をサフィックスとして使用しているホスト名を持つサーバーを使用することで、この欠陥を悪用する可能性があります (pythonicexample.com を使用して example.com の Cookie を盗むなど)。プログラムが http.cookiejar.DefaultPolicy を使用して、攻撃者が制御するサーバーへの HTTP 接続を試みると、既存の Cookie が攻撃者に漏洩する可能性があります。これは、2.x ～ 2.7.16、3.4.10 より前の 3.x、3.5.7 より前の 3.5.x、3.6.9 より前の 3.6.x、3.7.3 より前の 3.7.x に影響を与えます。(CVE-2018-20852)

  - Python 2.7.16 以前、3.x ～ 3.5.7、3.6.x ～ 3.6.9、および 3.7.x ～ 3.7.4 で問題が見つかりました。メールモジュールは、複数の@文字を含むメールアドレスを間違って解析します。この電子メールモジュールを使用し、メッセージのFrom/Toヘッダーにある種のチェックを実装しているアプリケーションは、拒否すべきメールアドレスを受け入れるよう誘導される可能性があります。攻撃は CVE-2019-11340 にあるものと同じ可能性があります。ただし、この CVE はより一般的に Python に適用されます。(CVE-2019-16056)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

* python: Cookieドメインチェックが不適切な結果を返す * python:
email.utils.parseaddrが電子メールアドレスを誤って解析する

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2020:2520 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - python: email.utils.parseaddrが電子メールアドレスを誤って解析する (CVE-2019-16056)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

python用のこの更新は、次の問題を修正します：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-9947：空白文字または制御文字が埋め込まれたURLパスの不十分な検証を修正しました。このような文字により、HTTPヘッダーインジェクションが可能でした。（bsc#1130840）

CVE-2019-16056：メールモジュールでのパーサーの問題を修正しました。
（bsc#1149955）

CVE-2019-16935：python/Lib/DocXMLRPCServer.pyでの折り返し型 XSSを修正しました（bsc#1153238）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

python用のこの更新は、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2019-16056：メールモジュールでのパーサーの問題を修正しました（bsc#1149955）。

CVE-2019-16935：python/Lib/DocXMLRPCServer.pyでの折り返し型 XSSを修正しました（bsc#1153238）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

CVE-2019-16056（rhbz#1750457）を修正します

----

CVE-2019-10160（rhbz#1718867）を修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの Oracle Linux 8 ホストに、ELSA-2020-1605 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.20.0 より前の Python では、同じホスト名の https-to-http リダイレクトを受信すると、リクエストパッケージにより HTTP 認証ヘッダーが http URI に送信されますが、これによりリモートの攻撃者がネットワークを盗聴して認証情報を容易に見つけることができます。(CVE-2018-18074)

  - バージョン 1.23 より前の urllib3 は、オリジン間リダイレクト (ホスト、ポート、またはスキームが異なるリダイレクト) に従うときに Authorization HTTP ヘッダーを削除しません。これにより、Authorizationヘッダーの資格情報が意図しないホストに漏洩したり、クリアテキストで送信されたりする可能性があります。（CVE-2018-20060）

  - Python の 1.24.1 までの urllib3 ライブラリでは、攻撃者がリクエストパラメーターを制御している場合に CRLF インジェクションが可能です。(CVE-2019-11236)

  - 3.7.3 以前の Python の Lib/http/cookiejar.py にある http.cookiejar.DefaultPolicy.domain_return_ok in Lib/http/cookiejar.py がドメインを正しく検証しません。既存のCookieが誤ったサーバーへの送信に誘導される可能性があります。攻撃者が、別の有効なホスト名をサフィックスとして使用しているホスト名を持つサーバーを使用することで、この欠陥を悪用する可能性があります (pythonicexample.comを使用してexample.comのCookieを盗むなど) 。プログラムがhttp.cookiejar.DefaultPolicyを使用して、攻撃者が制御するサーバーへのHTTP接続を試みると、既存のCookieが攻撃者に漏洩する可能性があります。これは、2.x ～ 2.7.16、3.4.10 より前の 3.x、3.5.7 より前の 3.5.x、3.6.9 より前の 3.6.x、3.7.3 より前の 3.7.x に影響を与えます。(CVE-2018-20852)

  - Python の 1.24.2 より前の urllib3 ライブラリは、必要な CA 証明書のセットが OS ストアの CA 証明書と異なるような特定の状況を誤って処理するため、検証の失敗が正しい結果となるような状況でもSSL接続が成功するという結果を引き起こします。これは、ssl_context、ca_certs、または ca_certs_dir 引数を使用していることに関連があります。(CVE-2019-11324)

  - Python 2.7.16 以前、3.x ～ 3.5.7、3.6.x ～ 3.6.9、および 3.7.x ～ 3.7.4 で問題が見つかりました。メールモジュールは、複数の@文字を含むメールアドレスを間違って解析します。この電子メールモジュールを使用し、メッセージのFrom/Toヘッダーにある種のチェックを実装しているアプリケーションは、拒否すべきメールアドレスを受け入れるよう誘導される可能性があります。攻撃は CVE-2019-11340 にあるものと同じ可能性があります。ただし、この CVE はより一般的に Python に適用されます。(CVE-2019-16056)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 1605アドバイザリに記載されている脆弱性の影響を受けます。

  - python-requests：HTTPSからHTTPにリダイレクトしてもAuthorizationヘッダーが削除されない（CVE-2018-18074）

  - python-urllib3: クロスホストリダイレクトでAuthorizationヘッダーが削除されないため資格情報が公開される（CVE-2018-20060）

  - python：Cookieドメインチェックが不適切な結果を返す（CVE-2018-20852）

  - python-urllib3: 「\r\n」シーケンスをエンコードしないことによるCRLFインジェクションにより、内部サービスへの攻撃が発生する可能性（CVE-2019-11236）

  - python-urllib3: エラーが発行されるときの証明書の不適切処理（CVE-2019-11324）

  - python：email.utils.parseaddrが電子メールアドレスを誤って解析する (CVE-2019-16056)

  - python：server_titleフィールドのドキュメントXML-RPCサーバーのXSS脆弱性（CVE-2019-16935）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このpython3用更新プログラムでは、以下の問題を修正します。修正されたセキュリティ問題：

CVE-2019-20907: 特別に細工されたtarballで発生する可能性がある無限ループを回避して、サービス拒否を修正しました（bsc#1174091）。

CVE-2020-14422: IPv4InterfaceおよびIPv6Interfaceにおける、サービス拒否を引き起こす可能性がある不適切なハッシュ値の計算を修正しました（bsc#1173274）。

CVE-2019-16935: python/Lib/DocXMLRPCServer.pyでの折り返し型 XSSを修正しました（bsc#1153238）。

CVE-2019-9947: 攻撃者がurlパラメーターをコントロールする場合にCRLFインジェクションを可能にするurllib2の問題を修正しました（bsc#1130840）。

ロケールが「C」の場合は、C.UTF-8に強制します（bsc#1162423）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

python用のこの更新は、次の問題を修正します：

バージョン2.7.17に更新しました。これは、openSUSE：FactoryとSLEのバージョン間でパッケージを統一するためです（bsc#1159035）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
130490	Fedora 30：python3（2019-aba3cca74a）	Nessus	Fedora Local Security Checks	2019/11/4	2024/4/16	high
131237	Amazon Linux 2：python3（ALAS-2019-1368）	Nessus	Amazon Linux Local Security Checks	2019/11/25	2024/4/10	high
135056	RHEL 7: python3（RHSA-2020: 1132)	Nessus	Red Hat Local Security Checks	2020/4/1	2024/11/7	high
135059	RHEL 7: python（RHSA-2020:1131）	Nessus	Red Hat Local Security Checks	2020/4/1	2024/11/7	high
135343	CentOS 7：python（RHSA-2020:1131）	Nessus	CentOS Local Security Checks	2020/4/10	2024/10/9	high
135830	Scientific Linux セキュリティ更新: SL7.x x86_64のpython3（20200407）	Nessus	Scientific Linux Local Security Checks	2020/4/21	2024/3/15	high
137412	RHEL 7: python（RHSA-2020:2520）	Nessus	Red Hat Local Security Checks	2020/6/17	2024/11/7	high
130164	SUSE SLED15 / SLES15セキュリティ更新プログラム：python（SUSE-SU-2019:2743-1）	Nessus	SuSE Local Security Checks	2019/10/23	2024/4/17	high
130193	SUSE SLED12 / SLES12セキュリティ更新プログラム：python（SUSE-SU-2019:2748-1）	Nessus	SuSE Local Security Checks	2019/10/24	2024/4/17	high
129027	Fedora 30：python34（2019-2b1f72899a）	Nessus	Fedora Local Security Checks	2019/9/19	2024/4/24	critical
129029	Fedora 29：python34（2019-5dc275c9f2）	Nessus	Fedora Local Security Checks	2019/9/19	2024/4/24	critical
180976	Oracle Linux 8: python27: 2.7 (ELSA-2020-1605)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/11/1	critical
145889	CentOS 8 : python27: 2.7（CESA-2020：1605)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	critical
143782	SUSE SLES12セキュリティ更新プログラム：python3 (SUSE-SU-2020:2699-1)	Nessus	SuSE Local Security Checks	2020/12/9	2024/2/5	high
133259	SUSE SLED15 / SLES15セキュリティ更新プログラム：python3（SUSE-SU-2020:0234-1）（BEAST）（httpoxy）	Nessus	SuSE Local Security Checks	2020/1/27	2024/3/28	critical

检测

插件搜索

high

high

high

high

high

high

high

high

high

critical

critical

critical

critical

high

critical