CVE-2019-9948— Python urllib 路径遍历漏洞

一分钟漏洞结论

复制摘要 复制引用

影响对象

n/a n/a

利用判断

利用概率较高，应尽快评估

建议动作

优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Python是Python软件基金会的一套开源的、面向对象的程序设计语言。该语言具有可扩展、支持模块和包、支持多种平台等特点。urllib是其中的一个用于处理URL的模块。 Python 2.x版本至2.7.16版本中的urllib存在路径遍历漏洞，该漏洞源于程序支持local_file: scheme。远程攻击者可利用该漏洞绕过保护机制。

CVE-2019-9948 影响 n/a n/a。利用概率较高，应尽快评估。Python是Python软件基金会的一套开源的、面向对象的程序设计语言。该语言具有可扩展、支持模块和包、支持多种平台等特点。urllib是其中的一个用于处理URL的模块。 Python 2.x版本至2.7.16版本中的urllib存在路径遍历漏洞，该漏洞源于程序支持local_file: scheme。远程攻击者可利用该漏洞绕过保护机制。 CVE-2019-9948 漏洞详情，神龙漏洞库，https://cve.imfht.com/detail/CVE-2019-9948

一、 漏洞 CVE-2019-9948 基础信息

受影响产品

二、漏洞 CVE-2019-9948 的公开POC

三、漏洞 CVE-2019-9948 的情报信息

CVE-2019-9948 补丁与修复 (1)

• https://github.com/python/cpython/pull/11842 x_refsource_MISC

CVE-2019-9948 厂商安全公告 (9)

• https://security.netapp.com/advisory/ntap-20190404-0004/ x_refsource_CONFIRM
• http://www.securityfocus.com/bid/107549 vdb-entry x_refsource_BID
• https://usn.ubuntu.com/4127-2/ vendor-advisory x_refsource_UBUNTU
• https://usn.ubuntu.com/4127-1/ vendor-advisory x_refsource_UBUNTU
• https://access.redhat.com/errata/RHSA-2019:3335 vendor-advisory x_refsource_REDHAT
• https://access.redhat.com/errata/RHSA-2019:2030 vendor-advisory x_refsource_REDHAT
• https://access.redhat.com/errata/RHSA-2019:3520 vendor-advisory x_refsource_REDHAT
• https://security.gentoo.org/glsa/202003-26 vendor-advisory x_refsource_GENTOO
• https://access.redhat.com/errata/RHSA-2019:1700 vendor-advisory x_refsource_REDHAT

CVE-2019-9948 公开利用代码 (1)

• http://packetstormsecurity.com/files/154927/Slackware-Security-Advisory-python-Updates.html x_refsource_MISC

CVE-2019-9948 邮件列表归档 (8)

• http://lists.opensuse.org/opensuse-security-announce/2019-06/msg00050.html vendor-advisory x_refsource_SUSE
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HQEQLXLOCR3SNM3AA5RRYJFQ5AZBYJ4L/ vendor-advisory x_refsource_FEDORA
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/KRYFIMISZ47NTAU3XWZUOFB7CYL62KES/ vendor-advisory x_refsource_FEDORA
• https://seclists.org/bugtraq/2019/Oct/29 mailing-list x_refsource_BUGTRAQ
• https://lists.debian.org/debian-lts-announce/2020/07/msg00011.html mailing-list x_refsource_MLIST
• https://lists.debian.org/debian-lts-announce/2019/06/msg00022.html mailing-list x_refsource_MLIST
• https://lists.debian.org/debian-lts-announce/2020/08/msg00034.html mailing-list x_refsource_MLIST
• https://lists.apache.org/thread.html/r1b103833cb5bc8466e24ff0ecc5e75b45a705334ab6a444e64e840a0%40%3Cissues.bookkeeper.apache.org%3E mailing-list x_refsource_MLIST

CVE-2019-9948 其他参考 (1)

• https://bugs.python.org/issue35907 x_refsource_MISC

• https://www.cve.org/CVERecord?id=CVE-2019-9948

同批安全公告 · n/a · 2019-03-23 · 共 6 条

IV. Related Vulnerabilities

V. Comments for CVE-2019-9948