最近收到了服務器有漏洞的通知，提示：RHSA-2022:5235: python security update，該漏洞源于用戶輸入構造命令、數(shù)據(jù)結構或記錄的操作過程中，網(wǎng)絡系統(tǒng)或產(chǎn)品缺乏對用戶輸入數(shù)據(jù)的正確驗證，接下來就為大家介紹一下python security update漏洞的修復方法，有需要的小伙伴可以參考一下：
1、漏洞提示：
RHSA-2022:5235: python security update
2、漏洞描述：
| 漏洞編號 | 漏洞公告 | 漏洞描述 |
| CVE-2020-26116 | Python注入漏洞 |
Python是Python軟件基金會的一套開源的、面向?qū)ο蟮某绦蛟O計語言。該語言具有可擴展、支持模塊和包、支持多種平臺等特點。 Python http.client存在注入漏洞。該漏洞源于用戶輸入構造命令、數(shù)據(jù)結構或記錄的操作過程中，網(wǎng)絡系統(tǒng)或產(chǎn)品缺乏對用戶輸入數(shù)據(jù)的正確驗證，未過濾或未正確過濾掉其中的特殊元素，導致系統(tǒng)或產(chǎn)品產(chǎn)生解析或解釋方式錯誤。以下產(chǎn)品及版本受到影響：Python 3.x系列3.5.10之前版本, 3.6.x系列3.6.12之前版本, 3.7.x系列3.7.9之前版本, 3.8.x系列3.8.5之前版本。 |
| CVE-2020-26137 | urllib3注入漏洞 |
urllib3是一款Python HTTP庫。該產(chǎn)品具有線程安全連接池、文件發(fā)布支持等。 urllib3 1.25.9之前版本存在注入漏洞。該漏洞源于可以在putrequest()的第一個參數(shù)中插入CR和LF控制字符。 |
| CVE-2021-3177 | Python 緩沖區(qū)錯誤漏洞 |
Python 3.x through 3.9.1 has a buffer overflow in PyCArg_repr in _ctypes/callproc.c, which may lead to remote code execution in certain Python applications that accept floating-point numbers as untrusted input, as demonstrated by a 1e300 argument to c_double.from_param. This occurs because sprintf is used unsafely. |
3、影響說明：
軟件：python 2.7.5-90.el7 命中：python version less than 0:2.7.5-92.el7_9 路徑：/usr/bin/pydoc
軟件：python-devel 2.7.5-90.el7 命中：python-devel version less than 0:2.7.5-92.el7_9 路徑：/usr/bin/python-config
軟件：python-libs 2.7.5-90.el7 命中：python-libs version less than 0:2.7.5-92.el7_9 路徑：/etc/python
4、解決方法：
yum update python yum update python-devel yum update python-libs
5、修復建議：
目前廠商已發(fā)布升級補丁以修復漏洞，補丁獲取鏈接：https://python-security.readthedocs.io/vuln/http-header-injection-method.html
