远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2020-1132 公告中提及的多个漏洞影响。

  - 在 Python 3.7.3 之前版本中，Lib/http/cookiejar.py 中的 http.cookiejar.DefaultPolicy.domain_return_ok 未正确验证域：它可能会遭诱骗而将现有的 Cookie 发送至错误的服务器。攻击者可以通过使用主机名称带有另一个有效主机名称作为后缀的服务器来滥用此缺陷（例如，pythonicexample.com 窃取 example.com 的 Cookie）。当某个程序使用 http.cookiejar.DefaultPolicy，并尝试进行至攻击者控制的服务器的 HTTP 连接时，可以将现有的 Cookie 泄露给攻击者。2.x 至 2.7.16、3.4.10 之前的 3.x、3.5.7 之前的 3.5.x、3.6.9 之前的 3.6.x 和 3.7.3 之前的 3.7.x 会受到影响。(CVE-2018-20852)

  - Python 2.7.16 及其之前版本、3.x 至 3.5.7、3.6.x 至 3.6.9 以及 3.7.x 至 3.7.4 版本中发现一个问题。电子邮件模块错误地解析了包含多个 @ 字符的电子邮件地址。使用电子邮件模块，并对消息的 From/To 标头实施某些类型检查的应用程序可能会受到诱骗，接受本应拒绝的电子邮件地址。攻击可能与 CVE-2019-11340 中相同；但此 CVE 更普遍地适用于 Python。(CVE-2019-16056)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Oracle Linux 7：python3 (ELSA-2020-1132)

high Nessus 插件 ID 180694

版本 1.0