python 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用和库的接口，以及多种 Window 系统的接口。安全修复：* Python 标准库 HTTP 客户端模块（如 httplib 或 urllib）在连接到 HTTPS 服务器时未验证 TLS/SSL 证书。中间人攻击者可以利用此缺陷劫持连接，并窃听或修改传输的数据。(CVE-2014-9365) 注意：更新 Python 标准库以默认启用证书验证。有关此更改的详细信息，请参阅链接到“参考”部分的知识库文章 2039753。(BZ#1219110) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 发行说明。

已发现实现网络协议（例如 httplib 或 smtplib）的多个 Python 标准库模块无法限制服务器响应的大小。恶意服务器可导致使用其中一个受影响模块的客户端消耗过多内存。

安全修复：- Python 标准库 HTTP 客户端模块（如 httplib 或 urllib）在连接到 HTTPS 服务器时未验证 TLS/SSL 证书。中间人攻击者可以利用此缺陷劫持连接，并窃听或修改传输的数据。(CVE-2014-9365)

远程主机上安装的 F5 Networks BIG-IP 版本低于测试版本。因此，该应用程序受到 K11068141 公告中提及的漏洞的影响。

  - 2.7.9 之前的 CPython（又称为 Python）2.x，以及 3.4.3 之前的 3.x 的 (1) httplib、(2) urllib、(3) urllib2 和 (4) xmlrpclib 库中存在 HTTP 客户端，访问 HTTPS URL 时，请勿 (a) 根据信任存储区检查证书或验证服务器主机名是否与 X.509 证书中主题 (b) 公用名或 (c) subjectAltName 字段中的域名匹配，这导致中间人攻击者可通过任意有效证书欺骗 SSL 服务器。(CVE-2014-9365)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-201503-10 中所述漏洞的影响（Python：多种漏洞）

已在 Python 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

上下文有关的攻击者可能能够执行任意代码或造成拒绝服务情况。
 变通方案：

目前无任何已知的变通方案。

python 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用和库的接口，以及多种 Window 系统的接口。安全修复：* Python 标准库 HTTP 客户端模块（如 httplib 或 urllib）在连接到 HTTPS 服务器时未验证 TLS/SSL 证书。中间人攻击者可以利用此缺陷劫持连接，并窃听或修改传输的数据。(CVE-2014-9365) 注意：更新 Python 标准库以默认启用证书验证。有关此更改的详细信息，请参阅链接到“参考”部分的知识库文章 2039753。(BZ#1219110) 其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

来自 Red Hat 安全公告 2017:1868： python 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用和库以及各种窗口系统的接口。 安全补丁： * Python 标准库 HTTP 客户端模块（如 httplib 或 urllib）在连接到 HTTPS 服务器时未执行 TLS/SSL 证书验证。中间人攻击者可以利用此缺陷劫持连接，并窃听或修改传输的数据。(CVE-2014-9365) 注意：更新 Python 标准库以默认启用证书验证。有关此更改的详细信息，请参阅链接到“参考”部分的知识库文章 2039753。(BZ#1219110) 更多变更： 如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

已发现 Python xmlrpclib 模块不会限制 gzip 压缩 HTTP 响应的大小。恶意 XMLRPC 服务器可以导致使用 xmlrpclib 的 XMLRPC 客户端消耗过量内存。(CVE-2013-1753)

已发现实现网络协议（例如 httplib 或 smtplib）的多个 Python 标准库模块无法限制服务器响应的大小。恶意服务器可导致使用其中一个受影响模块的客户端消耗过多内存。(CVE-2013-1752)

已发现 CGIHTTPServer 模块未正确处理 URL 编码的路径。远程攻击者可以利用此缺陷执行 cgi-bin 目录外的脚本，或泄露 cgi-bin 目录中脚本的源代码。(CVE-2014-4650)

在 buffer() 函数处理其偏移和大小参数的方式中发现一个整数溢出缺陷。能够控制这些参数的攻击者可以利用此缺陷泄露部分应用程序内存或导致其崩溃。(CVE-2014-7185)

发现 json 模块处理传递到特定函数（例如 raw_decode()）的负索引参数的方式中存在缺陷。如果攻击者可以控制传递到某一受影响函数的索引值，则可能利用此缺陷泄露部分应用程序内存。(CVE-2014-4616)

Python 标准库 HTTP 客户端模块（如 httplib 或 urllib）在连接到 HTTPS 服务器时未验证 TLS/SSL 证书。中间人攻击者可以利用此缺陷劫持连接，并窃听或修改传输的数据。(CVE-2014-9365)

此更新还修复以下缺陷：

- 以前，配合 Eventlet 库或常规线程使用的子进程会尝试关闭 epoll 文件描述符两次，这导致“Invalid argument”错误。
 已修复子进程，使其仅关闭文件描述符一次。

- 从 Python 脚本导入 readline 模块时，Python 不会在 stdout 上产生错误的随机字符。

- 已修复 cProfile 实用工具，在使用“-s”选项但未给出正确值的情况下，此工具会输出“-s”选项所支持的所有值。

- 现在 load_cert_chain() 函数接受“None”作为密钥文件参数。

此外，此更新还添加了以下增强：

- PEP 466 中所述的安全增强功能已向后移植到 Python 标准库，例如 ssl 模块的新功能：服务器名称指示 (SNI) 支持、对 hashlib 模块中新 TLSv1.x 协议和新哈希算法的支持以及多种其他支持。

- 已向 ssl 库中添加对 ssl.PROTOCOL_TLSv1_2 协议的支持。

- 现在可使用 ssl.SSLSocket.version() 方法访问连接中所使用的 SSL 协议版本的相关信息。

更新后的 python 程序包修复了安全漏洞：

报告 Python 的套接字模块中因 sock_recvfrom_into() 函数中的边界错误而存在漏洞，可能被利用来造成缓冲区溢出。这可被用于导致使用 socket.recvfrom_info() 函数的 Python 应用程序崩溃，或者可能以运行有漏洞的 Python 代码的用户的权限执行任意代码 (CVE-2014-1912)。

这可将 python 程序包更新到版本 2.7.6，此版本修复了多个其他缺陷，包括由于 ftplib 和 nntplib 模块中的 unbound readline() 调用所导致的拒绝服务缺陷 (CVE-2013-1752)。

imaplib、poplib 和 smtplib 模块中 unbound readline() 调用造成拒绝服务缺陷 (CVE-2013-1752)。

python XMLRPC 库中 gzip 炸弹和未绑定的读取拒绝服务缺陷 (CVE-2013-1753)。

由于边界检查不足导致 _json 模块中存在缺陷，从而使 Python 容易受到用户或对手的任意进程内存读取的影响。导致该缺陷的原因在于允许用户提供数组索引中使用的负值，从而使 scanstring 函数访问其本应访问的字符串之外的进程内存 (CVE-2014-4616)。

CGIHTTPServer Python 模块未正确处理 URL 中以 URL 编码的路径分隔符。这可使攻击者以服务器的文档根的权限泄露 CGI 脚本的源代码，或执行任意脚本 (CVE-2014-4650)。

2.7.8 之前的 Python 容易遭受缓冲区类型中的整数溢出的影响 (CVE-2014-7185)。

将 Python 的标准库 HTTP 客户端（httplib、urllib、urllib2、xmlrpclib）用于访问具有 HTTPS 的资源时，默认情况下不会针对任何信任存储检查证书，也不会针对请求的主机检查证书中的主机名。可以配置为检查信任根，但是主机名检查没有缺陷 (CVE-2014-9365)。

由于缺少版本依存关系，添加了 python-pip 和 tix 程序包。

远程主机运行的 Mac OS X 10.10.x 版低于 10.10.5。因此，它受到以下组件中的多种漏洞影响：

- apache
 - apache_mod_php
 - Apple ID OD Plug-in
 - AppleGraphicsControl
 - Bluetooth
 - bootp
 - CloudKit
 - CoreMedia Playback
 - CoreText
 - curl
 - Data Detectors Engine
 - Date & Time pref pane
 - Dictionary Application
 - DiskImages
 - dyld
 - FontParser
 - groff
 - ImageIO
 - Install Framework Legacy
 - IOFireWireFamily
 - IOGraphics
 - IOHIDFamily
 - Kernel
 - Libc
 - Libinfo
 - libpthread
 - libxml2
 - libxpc
 - mail_cmds
 - Notification Center OSX
 - ntfs
 - OpenSSH
 - OpenSSL
 - perl
 - PostgreSQL
 - python
 - QL Office
 - Quartz Composer Framework
 - Quick Look
 - QuickTime 7
 - SceneKit
 - Security
 - SMBClient
 - Speech UI
 - sudo
 - tcpdump
 - Text Formats
 - udf

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102741	CentOS 7 : python (CESA-2017:1868)	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	medium
84369	Amazon Linux AMI：python27 (ALAS-2015-552)	Nessus	Amazon Linux Local Security Checks	2015/6/25	2020/3/12	high
102654	Scientific Linux 安全更新：SL7.x x86_64 中的 python	Nessus	Scientific Linux Local Security Checks	2017/8/22	2021/1/14	medium
184227	F5 Networks BIG-IP：Python 漏洞 (K11068141)	Nessus	F5 Networks Local Security Checks	2023/11/2	2024/5/7	medium
82009	GLSA-201503-10：Python：多种漏洞	Nessus	Gentoo Local Security Checks	2015/3/24	2021/1/11	medium
102104	RHEL 7 : python (RHSA-2017:1868)	Nessus	Red Hat Local Security Checks	2017/8/2	2019/10/24	medium
102286	Oracle Linux 7 : python (ELSA-2017-1868)	Nessus	Oracle Linux Local Security Checks	2017/8/9	2021/1/14	medium
87570	Scientific Linux 安全更新：SL7.x x86_64 中的 python	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	critical
82328	Mandriva Linux 安全公告：python (MDVSA-2015:075)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/6	high
85408	Mac OS X 10.10.x < 10.10.5 多种漏洞	Nessus	MacOS X Local Security Checks	2015/8/17	2024/5/28	high

检测

插件搜索

medium

high

medium

medium

medium

medium

medium

critical

high

high