Updated python-requests packages fix security vulnerabilities :

Python-requests was found to have a vulnerability, where the attacker can retrieve the passwords from ~/.netrc file through redirect requests, if the user has their passwords stored in the ~/.netrc file (CVE-2014-1829).

It was discovered that the python-requests Proxy-Authorization header was never re-evaluated when a redirect occurs. The Proxy-Authorization header was sent to any new proxy or non-proxy destination as redirected (CVE-2014-1830).

In python-requests before 2.6.0, a cookie without a host value set would use the hostname for the redirected URL exposing requests users to session fixation attacks and potentially cookie stealing (CVE-2015-2296).

更新済み python-requests パッケージにより、次のセキュリティ脆弱性が修正されます：

Python-requests に脆弱性があることが見つかりました。ユーザーがパスワードを ~/.netrc ファイルに保存している場合、攻撃者が、リダイレクトリクエストを通して ~/.netrc ファイルからパスワードを取得する可能性があります（CVE-2014-1829）。

リダイレクトが発生したとき、python-requests の Proxy-Authorization ヘッダーは再評価されないことが判明しました。Proxy-Authorization ヘッダーは、リダイレクトで新しいプロキシまたはプロキシでない送信先に送信されました（CVE-2014-1830）。

2.6.0 より前の python-requests では、ホスト値が設定されていないクッキーは、リダイレクトされた URL のホスト名を使用するため、リクエストのユーザーをセッション固定攻撃およびクッキー盗難の危険にさらす可能性があります（CVE-2015-2296）。

更新版 python-requests 套件可修正安全性弱點：

在 Python-requests 中發現一個弱點，如果使用者將密碼儲存在 ~/.netrc 檔案中，該弱點會讓攻擊者透過重新導向要求從 ~/.netrc 檔案擷取密碼 (CVE-2014-1829)。

據發現，發生重新導向時，python-requests Proxy-Authorization 標頭始終未進行重新評估。重新導向後，系統會將 Proxy-Authorization 標頭傳送至任何新的 proxy 或非 proxy 目的地 (CVE-2014-1830)。

在 2.6.0 版之前的 python-requests 中，未設定主機值的 cookie 會使用重新導向 URL 的主機名稱，如此一來要求的使用者便容易遭受工作階段固定攻擊，且可能發生 cookie 竊取問題 (CVE-2015-2296)。

更新后的 python-requests 程序包修复了安全漏洞：

已发现 Python-requests 存在漏洞，如果用户将密码存储在 ~/.netrc 文件中，那么攻击者可以通过重定向请求来从 ~/.netrc 文件检索密码 (CVE-2014-1829)。

已发现在出现重定向时，从未重新评估 python-requests Proxy-Authorization 标头。Proxy-Authorization 标头在重定向时发送给任何新的代理或非代理目标 (CVE-2014-1830)。

在低于 2.6.0 的 python-requests 中，不含主机值集合的 cookie 将主机名用于重定向的 URL，使请求用户遭受会话固定攻击，cookie 也可能遭窃 (CVE-2015-2296)。

リモートの Ubuntu 14.04 LTS ホストには、USN-2382-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Jakub Wilk 氏は、リダイレクトされた後にリクエストが正しく認証情報を再利用していないことを発見しました。
    攻撃者がこの問題を利用して、他のサイト向けの認証情報を取得する可能性があります。
    (CVE-2014-1829、CVE-2014-1830)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Jakub Wilk 氏は、リダイレクト発生時に、Python 言語の HTTP ライブラリ、および認証情報がリクエスト内で不適切に処理されることを発見しました。これにより、リモートサーバーが次の 2 種類の機密情報を取得することが可能です：Proxy-Authorization ヘッダーからのプロキシパスワード（CVE-2014-1830）、または Authorization ヘッダーからの netrc パスワード（CVE-2014-1829）。

Jakub Wilk discovered that in requests, an HTTP library for the Python language, authentication information was improperly handled when a redirect occured. This would allow remote servers to obtain two different types of sensitive information: proxy passwords from the Proxy-Authorization header (CVE-2014-1830 ), or netrc passwords from the Authorization header (CVE-2014-1829 ).

The remote Ubuntu 14.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-2382-1 advisory.

    Jakub Wilk discovered that Requests incorrectly reused authentication credentials after being redirected.
    An attacker could possibly use this issue to obtain authentication credentials intended for another site.
    (CVE-2014-1829, CVE-2014-1830)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Ubuntu 14.04 LTS 主機上安裝的套件受到 USN-2382-1 公告中所提及的多個弱點影響。

    Jakub Wilk 發現在重新導向之後，Requests 未正確重複使用驗證認證。
    攻擊者可能利用此問題取得預定用於其他網站的驗證認證。
    (CVE-2014-1829、CVE-2014-1830)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Jakub Wilk 發現在 Python 語言的 HTTP 程式庫 requests 中，發生重新導向時未正確處理驗證資訊。這會允許遠端伺服器取得兩種不同類型的敏感資訊：來自 Proxy-Authorization 標頭的 Proxy 密碼 (CVE-2014-1830)，或來自 Authorization 標頭的 netrc 密碼 (CVE-2014-1829)。

Jakub Wilk 发现在 requests（Python 语言的 HTTP 库）中，当发生重定向时，未正确处理认证信息。这将允许远程服务器获取两种不同类型的敏感信息：从 Proxy-Authorization 标头中获取代理密码 (CVE-2014-1830)，或从 Authorization 标头获取 netrc 密码 (CVE-2014-1829)。

远程 Ubuntu 14.04 LTS 主机上安装的多个程序包受到 USN-2382-1 公告中提及的多个漏洞影响。

    Jakub Wilk 发现重定向之后，Requests 未正确重新使用认证凭据。
    攻击者可能利用此问题获取本应用于其他站点的认证凭据。
    （CVE-2014-1829、CVE-2014-1830）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
82386	Mandriva Linux Security Advisory : python-requests (MDVSA-2015:133)	Nessus	Mandriva Local Security Checks	3/30/2015	1/14/2021	medium
82386	Mandriva Linux セキュリティアドバイザリ：python-requests（MDVSA-2015:133）	Nessus	Mandriva Local Security Checks	3/30/2015	1/14/2021	medium
82386	Mandriva Linux 安全性公告：python-requests (MDVSA-2015:133)	Nessus	Mandriva Local Security Checks	3/30/2015	1/14/2021	medium
82386	Mandriva Linux 安全公告：python-requests (MDVSA-2015:133)	Nessus	Mandriva Local Security Checks	3/30/2015	1/14/2021	medium
78467	Ubuntu 14.04 LTS : Requests の脆弱性 (USN-2382-1)	Nessus	Ubuntu Local Security Checks	10/15/2014	8/27/2024	medium
81110	Debian DSA-3146-1：リクエスト - セキュリティ更新	Nessus	Debian Local Security Checks	2/2/2015	1/11/2021	medium
81110	Debian DSA-3146-1 : requests - security update	Nessus	Debian Local Security Checks	2/2/2015	1/11/2021	medium
78467	Ubuntu 14.04 LTS : Requests vulnerabilities (USN-2382-1)	Nessus	Ubuntu Local Security Checks	10/15/2014	8/27/2024	medium
78467	Ubuntu 14.04 LTS：Requests 弱點 (USN-2382-1)	Nessus	Ubuntu Local Security Checks	10/15/2014	8/27/2024	medium
81110	Debian DSA-3146-1：requests - 安全性更新	Nessus	Debian Local Security Checks	2/2/2015	1/11/2021	medium
81110	Debian DSA-3146-1：requests - 安全更新	Nessus	Debian Local Security Checks	2/2/2015	1/11/2021	medium
78467	Ubuntu 14.04 LTS：Requests 漏洞 (USN-2382-1)	Nessus	Ubuntu Local Security Checks	10/15/2014	8/27/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium