遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 2116 公告中提及的多個弱點影響。

  - python-httplib2: 針對 httplib2.Http.request 函式，透過 URI 中由攻擊者控制的未逸出部分造成 CRLF 插入 (CVE-2020-11078)

  - python-httplib2: 可透過惡意標頭造成規則運算式拒絕服務 (CVE-2021-21240)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 2116 公告中提及的多个漏洞的影响。

  - python-httplib2: 通过攻击者控制的 httplib2.Http.request 函数中 uri 未转义部分进行 CRLF 注入 (CVE-2020-11078)

  - python-httplib2: 通过恶意标头造成的正则表达式拒绝服务 (CVE-2021-21240)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - httplib2 is a comprehensive HTTP client library for Python. In httplib2 before version 0.19.0, a malicious     server which responds with long series of \xa0 characters in the www-authenticate header may cause     Denial of Service (CPU burn while parsing header) of the httplib2 client accessing said server. This is     fixed in version 0.19.0 which contains a new implementation of auth headers parsing using the pyparsing     library. (CVE-2021-21240)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - httplib2 是适用于 Python 的综合 HTTP 客户端库。在 httplib2 之前的版本 0.19.0中，以 www-authenticate 标头中的长系列 \xa0 字符响应的恶意服务器可能会造成访问所述服务器的 httplib2 客户端拒绝服务（解析标头时消耗 CPU）。此问题已在版本 0.19.0 中修复，该版本包含使用 pyparsing 库解析的 auth 标头的新实现。 (CVE-2021-21240)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - httplib2 は、Python 用の包括的な HTTP クライアントライブラリです。バージョン 0.19.0 より前の httplib2 では、www-authenticate ヘッダーの長い一連の \xa0 文字で応答する悪意のあるサーバーが、そのサーバーにアクセスする httplib2 クライアントのサービス拒否 (ヘッダーの解析中の CPU 書き込み) を引き起こす可能性があります。これは、pyparsing ライブラリを使用する auth ヘッダー解析の新しい実装を含むバージョン 0.19.0 で修正されています。(CVE-2021-21240)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

This update for python-httplib2 contains the following fixes :

Security fixes included in this update :

  - CVE-2021-21240: Fixed a regular expression denial of     service via malicious header (bsc#1182053).

  - CVE-2020-11078: Fixed an issue where an attacker could     change request headers and body (bsc#1171998).

Non security fixes included in this update :

  - Update in SLE to 0.19.0 (bsc#1182053, CVE-2021-21240)

  - update to 0.19.0 :

  - auth: parse headers using pyparsing instead of regexp

  - auth: WSSE token needs to be string not bytes

  - update to 0.18.1: (bsc#1171998, CVE-2020-11078)

  - explicit build-backend workaround for pip build     isolation bug

  - IMPORTANT security vulnerability CWE-93 CRLF injection     Force %xx quote of space, CR, LF characters in uri.

  - Ship test suite in source dist

  - Update to 0.17.1

  - python3: no_proxy was not checked with https

  - feature: Http().redirect_codes set, works after     follow(_all)_redirects check This allows one line     workaround for old gcloud library that uses 308 response     without redirect semantics.

  - IMPORTANT cache invalidation change, fix 307 keep     method, add 308 Redirects

  - proxy: username/password as str compatible with pysocks

  - python2: regression in connect() error handling

  - add support for password protected certificate files

  - feature: Http.close() to clean persistent connections     and sensitive data

  - Update to 0.14.0 :

  - Python3: PROXY_TYPE_SOCKS5 with str user/pass raised     TypeError

  - version update to 0.13.1 0.13.1

  - Python3: Use no_proxy     https://github.com/httplib2/httplib2/pull/140 0.13.0

  - Allow setting TLS max/min versions     https://github.com/httplib2/httplib2/pull/138 0.12.3

  - No changes to library. Distribute py3 wheels. 0.12.1

  - Catch socket timeouts and clear dead connection     https://github.com/httplib2/httplib2/issues/18     https://github.com/httplib2/httplib2/pull/111

  - Officially support Python 3.7 (package metadata)     https://github.com/httplib2/httplib2/issues/123 0.12.0

  - Drop support for Python 3.3

  - ca_certs from environment HTTPLIB2_CA_CERTS or certifi     https://github.com/httplib2/httplib2/pull/117

  - PROXY_TYPE_HTTP with non-empty user/pass raised     TypeError: bytes required     https://github.com/httplib2/httplib2/pull/115

  - Revert http:443->https workaround     https://github.com/httplib2/httplib2/issues/112

  - eliminate connection pool read race     https://github.com/httplib2/httplib2/pull/110

  - cache: stronger safename     https://github.com/httplib2/httplib2/pull/101 0.11.3

  - No changes, just reupload of 0.11.2 after fixing     automatic release conditions in Travis. 0.11.2

  - proxy: py3 NameError basestring     https://github.com/httplib2/httplib2/pull/100 0.11.1

  - Fix HTTP(S)ConnectionWithTimeout AttributeError     proxy_info https://github.com/httplib2/httplib2/pull/97     0.11.0

  - Add DigiCert Global Root G2 serial     033af1e6a711a9a0bb2864b11d09fae5     https://github.com/httplib2/httplib2/pull/91

  - python3 proxy support     https://github.com/httplib2/httplib2/pull/90

  - If no_proxy environment value ends with comma then proxy     is not used     https://github.com/httplib2/httplib2/issues/11

  - fix UnicodeDecodeError using socks5 proxy     https://github.com/httplib2/httplib2/pull/64

  - Respect NO_PROXY env var in proxy_info_from_url     https://github.com/httplib2/httplib2/pull/58

  - NO_PROXY=bar was matching foobar (suffix without dot     delimiter) New behavior matches curl/wget :

  - no_proxy=foo.bar will only skip proxy for exact hostname     match

  - no_proxy=.wild.card will skip proxy for     any.subdomains.wild.card     https://github.com/httplib2/httplib2/issues/94

  - Bugfix for Content-Encoding: deflate     https://stackoverflow.com/a/22311297

  - deleted patches

  - Removing certifi patch: httplib2 started to use certifi     and this is already bent to use system certificate     bundle by another patch

This update was imported from the SUSE:SLE-15:Update update project.

The remote Redhat Enterprise Linux 8 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2021:2116 advisory.

    A comprehensive HTTP client library that supports many features left out of other HTTP libraries.

    Security Fix(es):

    * CRLF injection via an attacker controlled unescaped part of uri for     httplib2.Http.request function (CVE-2020-11078)

    * Regular expression denial of service via malicious header     (CVE-2021-21240)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE     page listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1806-1 advisory.

  - In httplib2 before version 0.18.0, an attacker controlling unescaped part of uri for     `httplib2.Http.request()` could change request headers and body, send additional hidden requests to same     server. This vulnerability impacts software that uses httplib2 with uri constructed by string     concatenation, as opposed to proper urllib building with escaping. This has been fixed in 0.18.0.
    (CVE-2020-11078)

  - httplib2 is a comprehensive HTTP client library for Python. In httplib2 before version 0.19.0, a malicious     server which responds with long series of \xa0 characters in the www-authenticate header may cause     Denial of Service (CPU burn while parsing header) of the httplib2 client accessing said server. This is     fixed in version 0.19.0 which contains a new implementation of auth headers parsing using the pyparsing     library. (CVE-2021-21240)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

この python-httplib2 用の更新プログラムでは、次の問題が修正されています。

この更新には、セキュリティ修正が含まれます。

  - CVE-2021-21240: 悪意のあるヘッダーによる正規表現のサービス拒否を修正しました (bsc#1182053)。

  - CVE-2020-11078: 攻撃者がリクエストヘッダーと本文を変更する可能性がある問題を修正しました (bsc#1171998)。

この更新には、非セキュリティの修正が含まれています。

  - SLE の 0.19.0 への更新 (bsc#1182053、CVE-2021-21240)

  - 0.19.0 への更新:

  - auth: regexp の代わりに pyparsing を使用してヘッダーを解析します

  - auth: WSSE トークンはバイトではなく文字列である必要があります

  - 0.18.1への更新: (bsc#1171998、CVE-2020-11078)

  - pip ビルド分離バグの明示的なビルドバックエンドの回避策

  - 重要なセキュリティの脆弱性 CWE-93 CRLF インジェクション URI でのスペース、CR、LF 文字の ％xx 引用を強制します。

  - ソースディストリビューションのテストスイートを出荷します

  - 0.17.1 への更新

  - python3: no_proxy が https でチェックされていませんでした

  - 機能: Http().redirect_codes が設定され、follow(_all) _redirects チェック後に機能します。これにより、リダイレクトのセマンティクスなしで 308 応答を使用する古い gcloud ライブラリに対して、1 行の回避策が可能になります。

  - 重要なキャッシュ無効化の変更、307 keep メソッドの修正、308 リダイレクトの追加

  - proxy: pysocks と互換性のある str としてのユーザー名 / パスワード

  - python2: connect() エラー処理の回帰

  - パスワード保護された証明書ファイルのサポートを追加します

  - 機能: Http.close() による永続的な接続と機密データの消去

  - 0.14.0 に更新します:

  - Python3: str user/pass を伴う PROXY_TYPE_SOCKS5 により TypeError が発生しました

  - 0.13.1 0.13.1 へのバージョン更新

  - Python3: no_proxy https://github.com/httplib2/httplib2/pull/140 0.13.0 を使用します 

  - TLS の最大 / 最小バージョン https://github.com/httplib2/httplib2/pull/138 0.12.3 の設定を許可します

  - ライブラリに変更はありません。py3 ホイールを配布します。 0.12.1

  - ソケットタイムアウトをキャッチし、デッド接続をクリアします https://github.com/httplib2/httplib2/issues/18 https://github.com/httplib2/httplib2/pull/111

  - Python 3.7 を公式にサポート ( パッケージのメタデータ) https://github.com/httplib2/httplib2/issues/123 0.12.0

  - Python 3.3 のサポートをドロップします

  - 環境 HTTPLIB2_CA_CERTS または certifi https://github.com/httplib2/httplib2/pull/117 からの ca_certs

  - 空でないユーザー / パスを持つ PROXY_TYPE_HTTP が必要な TypeError: バイトを増大させました https://github.com/httplib2/httplib2/pull/115

  - http: 443->https の回避策 https://github.com/httplib2/httplib2/issues/112 を元に戻します 

  - 接続プールの読み取り競合を排除します https://github.com/httplib2/httplib2/pull/110

  - cache: より強力な safename https://github.com/httplib2/httplib2/pull/101 0.11.3

  - 変更はありません。Travis の自動リリース状態を修正した後に 0.11.2 を再アップロードするだけです。 0.11.2

  - proxy: py3 NameError ベース文字列 https://github.com/httplib2/httplib2/pull/100 0.11.1

  - HTTP(S)ConnectionWithTimeout AttributeError proxy_info を修正します https://github.com/httplib2/httplib2/pull/970.11.0

  - DigiCert Global Root G2 シリアル 033af1e6a711a9a0bb2864b11d09fae5 を追加します https://github.com/httplib2/httplib2/pull/91

  - python3 プロキシのサポート https://github.com/httplib2/httplib2/pull/90

  - no_proxy 環境値がカンマで終わる場合、プロキシは使用されません https://github.com/httplib2/httplib2/issues/11

  - socks5 プロキシを使用する UnicodeDecodeError を修正します https://github.com/httplib2/httplib2/pull/64

  - proxy_info_from_url の NO_PROXY env var を尊重します https://github.com/httplib2/httplib2/pull/58

  - NO_PROXY=bar が foobar に一致していました (ドット区切り文字のないサフィックス)。新しい動作は curl/wget に一致します。

  - no_proxy=foo.bar は、正確なホスト名の一致に対してのみプロキシをスキップします

  - no_proxy=.wild.card は、any.subdomains.wild.card のプロキシをスキップします https://github.com/httplib2/httplib2/issues/94

  - Content-Encoding のバグ修正: deflate https://stackoverflow.com/a/22311297

  - 削除されたパッチ

  - certifi パッチの削除: httplib2 が certifi の使用を開始し、これはすでに別のパッチによりシステム証明書バンドルを使用するように変更されています。

この更新はSUSEからインポートされました: SLE-15: 更新プロジェクトを更新します。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージには、RHSA-2021：2116のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-httplib2: 攻撃者によるCRLFインジェクションがhttplib2.Http.request関数のURIのエスケープされていない部分を制御しました（CVE-2020-11078）

  - python-httplib2: 悪意のあるヘッダーによる正規表現のサービス拒否（CVE-2021-21240）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1806-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - バージョン0.18.0より前のhttplib2では、「httplib2.Http.request()」のURIのエスケープされていない部分を制御している攻撃者が、リクエストヘッダーや本文を変更したり、追加の非表示リクエストを同じサーバーに送信したりする可能性があります。この脆弱性は、エスケープを使用した正しいurllib構築とは対照的に、文字列連結によって構築されたuriでhttplib2を使用するソフトウェアに影響を与えます。これは0.18.0で修正されました。
    (CVE-2020-11078)

  - httplib2 は、Python 用の包括的な HTTP クライアントライブラリです。バージョン 0.19.0 より前の httplib2 では、www-authenticate ヘッダーの長い一連の \xa0 文字で応答する悪意のあるサーバーが、そのサーバーにアクセスする httplib2 クライアントのサービス拒否 (ヘッダーの解析中の CPU 書き込み) を引き起こす可能性があります。これは、pyparsing ライブラリを使用する auth ヘッダー解析の新しい実装を含むバージョン 0.19.0 で修正されています。(CVE-2021-21240)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - httplib2 是適用於 Python 的綜合 HTTP 用戶端程式庫。在 0.19.0版之前的 httplib2 中，惡意伺服器會在 www-authenticate 標頭中以長系列的 \xa0 字元回應，可能造成 httplib2 用戶端存取所述伺服器時發生拒絕服務 (剖析標頭時 CPU 燒毀)。此問題已在 0.19.0 版中修正，其中包含使用 pyparsing 程式庫剖析驗證標頭的新實作。 (CVE-2021-21240)

請注意，Nessus 依賴供應商報告的套件存在。

ID	Name	Product	Family	Published	Updated	Severity
149997	RHEL 8：Red Hat OpenStack Platform 16.1.6 (python-httplib2) (RHSA-2021: 2116)	Nessus	Red Hat Local Security Checks	5/27/2021	11/7/2024	medium
149997	RHEL 8：Red Hat OpenStack Platform 16.1.6 (python-httplib2) (RHSA-2021: 2116)	Nessus	Red Hat Local Security Checks	5/27/2021	11/7/2024	medium
223633	Linux Distros Unpatched Vulnerability : CVE-2021-21240	Nessus	Misc.	3/4/2025	9/5/2025	high
223633	Linux Distros 未修补的漏洞: CVE-2021-21240	Nessus	Misc.	3/4/2025	9/5/2025	high
223633	Linux Distros のパッチ未適用の脆弱性: CVE-2021-21240	Nessus	Misc.	3/4/2025	9/5/2025	high
149881	openSUSE Security Update : python-httplib2 (openSUSE-2021-772)	Nessus	SuSE Local Security Checks	5/25/2021	12/29/2023	medium
149997	RHEL 8 : Red Hat OpenStack Platform 16.1.6 (python-httplib2) (RHSA-2021:2116)	Nessus	Red Hat Local Security Checks	5/27/2021	11/7/2024	medium
151722	openSUSE 15 Security Update : python-httplib2 (openSUSE-SU-2021:1806-1)	Nessus	SuSE Local Security Checks	7/16/2021	12/8/2023	medium
149881	openSUSE セキュリティ更新プログラム: python-httplib2 (openSUSE-2021-772)	Nessus	SuSE Local Security Checks	5/25/2021	12/29/2023	medium
149997	RHEL 8: Red Hat OpenStack Platform 16.1.6（python-httplib2）（RHSA-2021：2116)	Nessus	Red Hat Local Security Checks	5/27/2021	11/7/2024	medium
151722	openSUSE 15 セキュリティ更新 : python-httplib2 (openSUSE-SU-2021:1806-1)	Nessus	SuSE Local Security Checks	7/16/2021	12/8/2023	medium
223633	Linux Distros 未修補弱點：CVE-2021-21240	Nessus	Misc.	3/4/2025	9/5/2025	high

Detections

Analytics

Plugins Search

medium

medium

high

high

high

medium

medium

medium

medium

medium

medium

high