远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2016:1166 公告中提及的多个漏洞影响。

    Python 是一种解释型、交互式、面向对象的编程语言，支持模块、类、异常、高层次的动态数据类型，以及动态输入。python27 程序包提供稳定版本的 Python 2.7，其中包含大量适用于 MySQL 和 PostgreSQL 的其他实用工具及数据库连接器。

    安全修复：

    已对 python 组件应用了以下补丁：

    * Python 标准库 HTTP 客户端模块（如 httplib 或 urllib）在连接到 HTTPS 服务器时未执行 TLS/SSL 证书验证。中间人攻击者可以利用此缺陷劫持连接，并窃听或修改传输的数据。(CVE-2014-9365)

    注意：更新 Python 标准库以默认启用证书验证。但是，为了保证向后兼容性，在默认情况下仍然禁用验证。未来的更新可能会更改此默认设置。有关此更改的详细信息，请参阅链接到“参考”部分的知识库文章 2039753。(BZ#1311044, BZ#1319774)

    已对 python-pymongo 组件应用了以下补丁：

    * 在 Python 的 SSL 模块实现执行某些证书名称的匹配的方式中发现拒绝服务缺陷。能够获得包含多种通配符字符的有效证书的远程攻击者可利用此缺陷发出验证此类证书的请求，从而导致 CPU 的过量消耗。(CVE-2013-2099)

    已对 python-virtualenv 组件应用了以下补丁：

    * 在 Python SSL 模块对含有通配符的证书名称执行匹配的方式中发现多个缺陷。如果远程攻击者获取了包含某些带通配符名称的有效证书，则可使 Python SSL 客户端不遵守 RFC 6125 建议时，错误地接受这些证书。(CVE-2013-7440)

    CVE-2013-2099 问题由 Red Hat 产品安全团队的 Florian Weimer 发现。

    错误修复和增强功能：

    python27 SoftwareCollection 程序包已升级到更新版本，其提供了对之前版本的多项缺陷补丁和增强。其中：

    * 已添加 python27-PyYAML 程序包，其中包含 Python YAML 模块。PyYAML 是 Python 的 YAML 解析器及发射器；它适用于从复杂配置文件到对象序列化和持久性的各种任务。

    * Python 增强提议 466 中描述的网络安全增强已向后移植至 Python 标准库。安全增强功能包括 ssl 模块中的新功能，如支持服务器名称指示 (SNI)、支持新的 TLSv1.x 协议、hashlib 模块中的新散列算法等。

    * python27-python-pip 程序包已升级到版本 7.1.0。

    * python27-python-virtualenv 程序包已升级到版本 13.1.0。

    * python27-python-pymongo 程序包已升级到版本 3.2.1。

    （BZ#1301481、BZ#1297784、BZ#1111464、BZ#1319774）

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

针对 CVE-2013-7440 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

python-setuptools 已更新，修复了一个安全问题。

修复了以下漏洞：

- CVE-2013-7440：不符合 RFC6125 的主机名匹配错误 (bsc#930189)

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

适用于 CVE-2013-2099、CVE-2013-7440 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 2.7.9 之前的 CPython（即 Python）以及 3.x 之前的 3.3.3 中的 ssl.match_hostname 函数未正确处理主机名中的通配符，可能允许中间人攻击者通过构建的证书欺骗服务器。 (CVE-2013-7440)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
193823	RHEL 6 / 7：python27 (RHSA-2016:1166)	Nessus	Red Hat Local Security Checks	2024/4/24	2025/3/20	medium
85421	Fedora 22：bzr-2.6.0-8.fc22 (2015-12001)	Nessus	Fedora Local Security Checks	2015/8/17	2021/1/11	medium
86217	SUSE SLED11 安全更新：python-setuptools 的建议更新 (SUSE-SU-2015:1651-1)	Nessus	SuSE Local Security Checks	2015/10/1	2021/1/6	medium
85420	Fedora 21：bzr-2.6.0-7.fc21 (2015-11995)	Nessus	Fedora Local Security Checks	2015/8/17	2021/1/11	medium
89544	Fedora 22：python-pymongo-2.5.2-8.fc22 (2016-52b294538d)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	medium
218360	Linux Distros 未修补的漏洞: CVE-2013-7440	Nessus	Misc.	2025/3/4	2025/3/4	medium
89540	Fedora 23：python-pymongo-2.5.2-8.fc23 (2016-50abc3e885)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium