CVE-2019-9947
Təsvir
Python 2.x-dən 2.7.16-ya qədər olan versiyalarda urllib2 və Python 3.x-dən 3.7.3-ə qədər olan versiyalarda urllib kitabxanalarında problem aşkar edilmişdir. Hücum edən url parametrini idarə edə bildiyi təqdirdə CRLF injection mümkündür; bu, urllib.request.urlopen funksiyasının birinci arqumentində \r\n (xüsusilə '?' simvolu olmayan URL-in yol komponentində), ardınca isə HTTP başlığı və ya Redis əmrinin istifadəsi ilə nümayiş etdirilir. Bu, CVE-2019-9740 sorğu sətri problemi ilə oxşardır. Problem aşağıdakı versiyalarda düzəldilmişdir: v2.7.17, v2.7.17rc1, v2.7.18, v2.7.18rc1; v3.5.10, v3.5.10rc1, v3.5.8, v3.5.8rc1, v3.5.8rc2, v3.5.9; v3.6.10, v3.6.10rc1, v3.6.11, v3.6.11rc1, v3.6.12, v3.6.9, v3.6.9rc1; v3.7.4, v3.7.4rc1, v3.7.4rc2, v3.7.5, v3.7.5rc1, v3.7.6, v3.7.6rc1, v3.7.7, v3.7.7rc1, v3.7.8, v3.7.8rc1, v3.7.9.
Necə düzəltmək olar
- python python2.7.17, 3.5.8, 3.6.9, 3.7.4 və ya daha yeni versiya
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JXASHCDD4PQFKTMKQN4YOP5ZH366ABN4/
- access.redhat.com/errata/RHSA-2019:1260
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JMWSKTNOHSUOT3L25QFJAVCFYZX46FYK/
- access.redhat.com/errata/RHSA-2019:2030
- usn.ubuntu.com/4127-2/
- usn.ubuntu.com/4127-1/
- access.redhat.com/errata/RHSA-2019:3335
- access.redhat.com/errata/RHSA-2019:3520
- access.redhat.com/errata/RHSA-2019:3725
- security.gentoo.org/glsa/202003-26
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| python python | 2.7.0 ≤ v < 2.7.17, 3.5.0 ≤ v < 3.5.8, 3.6.0 ≤ v < 3.6.9, 3.7.0 ≤ v < 3.7.4 | 2.7.17, 3.5.8, 3.6.9, 3.7.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.