CVE-2018-20852
Açıklama
Python'un 3.7.3 öncesindeki sürümlerinde bulunan Lib/http/cookiejar.py içerisindeki http.cookiejar.DefaultPolicy.domain_return_ok alanı alan adını doğru şekilde doğrulamamaktadır: mevcut çerezlerin yanlış sunucuya gönderilmesi sağlanabilir. Bir saldırgan, başka bir geçerli ana bilgisayar adına sonek olarak sahip olan bir ana bilgisayar adına sahip bir sunucu kullanarak bu açıktan faydalanabilir (örneğin, example.com için çerezleri çalmak amacıyla pythonicexample.com kullanılması). Bir program http.cookiejar.DefaultPolicy kullandığında ve saldırgan tarafından kontrol edilen bir sunucuya HTTP bağlantısı kurmaya çalıştığında, mevcut çerezler saldırgana sızdırılabilir. Bu durum; 2.x ile 2.7.16 arası, 3.4.10 öncesi 3.x, 3.5.7 öncesi 3.5.x, 3.6.9 öncesi 3.6.x ve 3.7.3 öncesi 3.7.x sürümlerini etkilemektedir.
Nasıl düzeltilir
- python python3.4.10, 3.5.7, 3.6.9, 3.7.3 ya da sonraki bir sürüm
- usn.ubuntu.com/4127-2/
- usn.ubuntu.com/4127-1/
- access.redhat.com/errata/RHSA-2019:3725
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/K7HNVIFMETMFWWWUNTB72KYJYXCZOS5V/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZBTGPBUABGXZ7WH7677OEM3NSP6ZEA76/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/COATURTCY7G67AYI6UDV5B2JZTBCKIDX/
- access.redhat.com/errata/RHSA-2019:3948
- security.gentoo.org/glsa/202003-26
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python python | 2.0 ≤ v ≤ 2.7.16, 3.0.0 ≤ v < 3.4.10, 3.5.0 ≤ v < 3.5.7, 3.6.0 ≤ v < 3.6.9, 3.7.0 ≤ v < 3.7.3 | 3.4.10, 3.5.7, 3.6.9, 3.7.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.