Two security issues were found in the Python interface to the apt package manager; package downloads from unsigned repositories were incorrectly rejected and the hash validation relied on MD5.

The remote Ubuntu 16.04 LTS / 18.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4247-1 advisory.

    It was discovered that python-apt would still use MD5 hashes to validate certain downloaded packages. If a     remote attacker were able to perform a machine-in-the-middle attack, this flaw could potentially be used     to install altered packages. (CVE-2019-15795)

    It was discovered that python-apt could install packages from untrusted repositories, contrary to     expectations. (CVE-2019-15796)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

python-aptが、ダウンロードした特定のパッケージを検証するために、MD5ハッシュを引き続き使用していることがわかりました。リモートの攻撃者が中間者攻撃を実行できる場合、この欠陥を悪用して、変更されたパッケージをインストールする可能性があります。(CVE-2019-15795) 

python-aptが予想に反して、信頼できないレポジトリからパッケージをインストールする可能性があることがわかりました。(CVE-2019-15796)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

aptパッケージマネージャーに対するPythonインターフェイスで、2つのセキュリティ問題が見つかりました。署名のないリポジトリからのパッケージのダウンロードが不適切に拒否され、ハッシュの検証がMD5に依存していました。

libapt-pkgへのpythonインターフェイスpython-aptで、複数の問題が見つかりました。

CVE-2019-15795

python-aptが、ダウンロードした特定のパッケージを検証するために、MD5ハッシュを引き続き使用していることがわかりました。リモートの攻撃者が中間者攻撃を実行できる場合、この欠陥を悪用して、変更されたパッケージをインストールする可能性があります。

CVE-2019-15796

python-aptが予想に反して、信頼できないレポジトリからパッケージをインストールする可能性があることがわかりました。

Debian 8「Jessie」では、これらの問題はバージョン0.9.3.13で修正されました。

使用しているpython-aptのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Several issues have been found in python-apt, a python interface to libapt-pkg.

CVE-2019-15795

It was discovered that python-apt would still use MD5 hashes to validate certain downloaded packages. If a remote attacker were able to perform a man-in-the-middle attack, this flaw could potentially be used to install altered packages.

CVE-2019-15796

It was discovered that python-apt could install packages from untrusted repositories, contrary to expectations.

For Debian 8 'Jessie', these problems have been fixed in version 0.9.3.13.

We recommend that you upgrade your python-apt packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

发现 python-apt 仍在使用 MD5 哈希来验证某些下载的程序包。如果远程攻击者能够执行中间人攻击，则此缺陷可能被用于安装经过修改的程序包。(CVE-2019-15795)

发现 python-apt 会安装不受信任的存储库中的程序包，这与预期相反。(CVE-2019-15796)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 apt 套件管理器的 Python 介面中發現兩個安全性問題：未正確拒絕來自未簽署存放庫的套件下載，且雜湊驗證依賴 MD5。

在 apt 程序包管理器的 Python 接口中发现两个安全问题；未正确拒绝来自未签名存储库的程序包下载，且哈希验证依赖 MD5。

在 python-apt (libapt-pkg 的 python 介面) 中發現數個問題。

CVE-2019-15795

據發現，python-apt 仍然使用 MD5 雜湊驗證某些已下載的套件。如果遠端攻擊者能執行中間人攻擊，可能利用此弱點來安裝修改過的套件。

CVE-2019-15796

據發現，python-apt 可從不受信任的存放庫安裝套件，這與預期行為相反。

針對 Debian 8「Jessie」，已在 0.9.3.13 版本中修正這些問題。

建議您升級 python-apt 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 libapt-pkg 的 python 接口 python-apt 中发现多个问题。

CVE-2019-15795

发现 python-apt 仍在使用 MD5 哈希来验证某些下载的程序包。如果远程攻击者能够执行中间人攻击，则此缺陷可能被用于安装被修改的程序包。

CVE-2019-15796

发现 python-apt 会从不受信任的存储库安装程序包，这与预期相反。

对于 Debian 8“Jessie”，已在 0.9.3.13 版本中修复这些问题。

我们建议您升级 python-apt 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

據發現，python-apt 仍然使用 MD5 雜湊驗證某些已下載的套件。如果遠端攻擊者能執行中間人攻擊，可能利用此瑕疵來安裝修改過的套件。(CVE-2019-15795)

據發現，python-apt 可從不受信任的存放庫安裝套件，這與預期行為相反。(CVE-2019-15796)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
133230	Debian DSA-4609-1 : python-apt - security update	Nessus	Debian Local Security Checks	2020/1/27	2024/3/28	medium
133205	Ubuntu 16.04 LTS / 18.04 LTS : python-apt vulnerabilities (USN-4247-1)	Nessus	Ubuntu Local Security Checks	2020/1/23	2024/8/27	medium
133205	Ubuntu 16.04 LTS / 18.04 LTS : python-apt の脆弱性 (USN-4247-1)	Nessus	Ubuntu Local Security Checks	2020/1/23	2024/8/27	medium
133230	Debian DSA-4609-1 : python-apt - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/1/27	2024/3/28	medium
133219	Debian DLA-2074-1 : python-aptセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/1/24	2024/3/29	medium
133219	Debian DLA-2074-1 : python-apt security update	Nessus	Debian Local Security Checks	2020/1/24	2024/3/29	medium
133205	Ubuntu 16.04 LTS / 18.04 LTS：python-apt 漏洞 (USN-4247-1)	Nessus	Ubuntu Local Security Checks	2020/1/23	2024/8/27	medium
133230	Debian DSA-4609-1：python-apt - 安全性更新	Nessus	Debian Local Security Checks	2020/1/27	2024/3/28	medium
133230	Debian DSA-4609-1：python-apt - 安全更新	Nessus	Debian Local Security Checks	2020/1/27	2024/3/28	medium
133219	Debian DLA-2074-1：python-apt 安全性更新	Nessus	Debian Local Security Checks	2020/1/24	2024/3/29	medium
133219	Debian DLA-2074-1：python-apt 安全更新	Nessus	Debian Local Security Checks	2020/1/24	2024/3/29	medium
133205	Ubuntu 16.04 LTS / 18.04 LTS：python-apt 弱點 (USN-4247-1)	Nessus	Ubuntu Local Security Checks	2020/1/23	2024/8/27	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium