根据安装的 python 程序包版本，远程主机上的 EulerOS 安装会受到下列漏洞影响：- 在 Python 2 和 3 文档 2016 之前版本中，library/glob.html 对于是否发生排序，可能会有误导的信息，不可复制的 cancer-research 结果即为一例。注意：本文档的影响跨应用领域，因此其他位置的与安全相关的代码可能会受到影响。这个问题不是 Python 的实现错误，也没有 NMR 研究人员特别依赖 library/glob.html 的任何报告。换句话说，因为旧版文档说明“根据 Unix Shell 使用的规则，寻找与指定模式符合的所有路径名称”，因此可能会错误地推断出 glob.glob 也会发生在 Unix Shell 中发生的排序。在更新版 Willoughby nmr-data_compilation-p2.py 和 nmr-data_compilation-p3.py 中存在变通方案，此变通方案是直接调用 sort()。(CVE-2019-17514) - Python 2.7.16 及之前版本、3.x 到 3.6.9，以及 3.7.x 到 3.7.4 中的文档 XML-RPC 服务器通过 server_title 字段存在 XSS。在 Python 2.x 的 Lib/DocXMLRPCServer.py 中，以及在 Python 3.x 的 Lib/xmlrpc/server.py 中会发生这个情况。如果通过不受信任的输入调用 set_server_title，则可以将任意 JavaScript 传递给访问此服务器之 http URL 的客户端。(CVE-2019-16935) - 在 Python 2.x 到 2.7.16 中的 urllib2 和 Python 3.x 到 3.7.3 中的 urllib 发现一个问题。若攻击者控制 url 参数便可能发生 CRLF 注入，使用 \r\n 的 urllib.request.urlopen 的第一个参数（特别是在 ? 字符后的查询字符串中），随后是 HTTP 标头或 Redis 命令即为一例。(CVE-2019-9740) - 在 Python 2.7.16 及之前版本、3.x 至 3.5.7、3.6.x 至 3.6.9 以及 3.7.x 至 3.7.4 中发现问题。电子邮件模块错误地解析了含有多个 @ 字符的电子邮件地址。使用电子邮件模块，并对消息的发件人/收件人标头实施某些检查的应用程序可能会被诱使接受本应拒绝的电子邮件地址。攻击可能与 CVE-2019-11340 中的攻击相同，但是此 CVE 更广泛地应用于 Python。(CVE-2019-16056) - 在 Python 3.7.3 之前版本中，Lib/http/cookiejar.py 中的 http.cookiejar.DefaultPolicy.domain_return_ok 未正确验证域：它可能会遭诱骗而将现有的 Cookie 发送至错误的服务器。攻击者可以通过使用主机名称带有另一个有效主机名称作为后缀的服务器来滥用此缺陷（例如，pythonicexample.com 窃取 example.com 的 Cookie）。当某个程序使用 http.cookiejar.DefaultPolicy，并尝试进行至攻击者控制的服务器的 HTTP 连接时，可以将现有的 Cookie 泄露给攻击者。这会影响 2.x 到 2.7.16、3.x 到 3.4.10、3.5.x 到 3.5.7、3.6.x 到 3.6.9，以及 3.7.x 到 3.7.3。(CVE-2018-20852) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

EulerOS 2.0 SP2：python (EulerOS-SA-2019-2442)

high Nessus 插件 ID 131596

版本 1.8