2020-1919: python-pip, python-setuptools: Eine Schwachstelle ermöglicht einen Directory-Traversal-Angriff

Historie:

Version 1 (2020-09-07 13:59)

Neues Advisory

Version 2 (2020-09-11 15:16)

Für Debian 9 Stretch (LTS) steht ein Sicherheitsupdate für 'python-pip' in Version 9.0.1-2+deb9u2 bereit, um die Schwachstelle zu beheben.

Version 3 (2020-09-22 11:13)

Für SUSE OpenStack Cloud 6 LTSS und 7 sowie SUSE Linux Enterprise Module for Public Cloud 12 stehen Sicherheitsupdates für 'python-pip' zur Behebung der Schwachstelle bereit.

Version 4 (2020-09-24 11:51)

Für SUSE OpenStack Cloud 8 und Crowbar 8 stehen Sicherheitsupdates für 'python-pip' zur Behebung der Schwachstelle bereit.

Version 5 (2020-09-30 10:08)

Für die SUSE Linux Enterprise Produkte Server for SAP 15, Server 15 LTSS, Module for Python2 15 SP1 und 15 SP2, Module for Basesystem 15 SP1 und 15 SP2 sowie High Performance Computing 15 ESPOS und 15 LTSS stehen Sicherheitsupdates für 'python-pip' zur Behebung der Schwachstelle bereit.

Version 6 (2020-10-05 10:38)

Für openSUSE Leap 15.1 und 15.2 stehen Sicherheitsupdates für 'python-pip' bereit, um die Schwachstelle zu beheben.

Version 7 (2020-10-23 09:53)

Canonical stellt für Ubuntu 18.04 LTS ein Sicherheitsupdate für 'python-pip' bereit, um die Schwachstelle zu beheben.

Version 8 (2020-10-26 10:18)

Für SUSE OpenStack Cloud Crowbar 9 und SUSE OpenStack Cloud 9 stehen Sicherheitsupdates für 'python-pip' bereit, um die Schwachstelle zu beheben.

Version 9 (2020-11-04 18:19)

Für Red Hat Enterprise Linux 8 (x86_64) steht ein Sicherheitsupdate zur Behebung der Schwachstelle in 'python-pip' bereit. Dieses Update wird im Zusammenhang mit der Veröffentlichung von Red Hat Enterprise Linux 8.3 zur Verfügung gestellt.

Version 10 (2020-12-01 11:13)

Für die SUSE Linux Enterprise Produkte Server for SAP 15, Server 15 LTSS, Module for Python2 15 SP1, 15 SP2 und 15 SP3, Module for Basesystem 15 SP1, 15 SP2 und 15 SP3 sowie High Performance Computing 15 ESPOS und 15 LTSS stehen Sicherheitsupdates für 'python-pip' zur Behebung der Schwachstelle bereit. Für SUSE Linux Enterprise Module for Python2 und SUSE Linux Enterprise Module for Basesystem jeweils in den Versionen 15 SP1 und 15 SP2 stehen außerdem Sicherheitsupdates für 'python-setuptools' zur Verfügung, die ebenfalls die Schwachstelle adressieren.

Version 11 (2020-12-02 10:19)

Für openSUSE Leap 15.2 steht ein Sicherheitsupdate für 'python-setuptools' zur Behebung der Schwachstelle zur Verfügung.

Version 12 (2020-12-02 17:51)

Für die SUSE Linux Enterprise Produkte Server for SAP 15, Server 15 LTSS, Module for Python2 15 SP1, 15 SP2 und 15 SP3, Module for Basesystem 15 SP1, 15 SP2 und 15 SP3 sowie High Performance Computing 15 ESPOS und 15 LTSS stehen Sicherheitsupdates für 'python' und 'python3' zur Behebung der Schwachstelle bereit. Die Sicherheitsupdates für 'python' stehen auch für SUSE Linux Enterprise Module for Desktop Applications 15 SP1, 15 SP2 und 15 SP3 zur Verfügung. Weiterhin stehen für SUSE OpenStack Cloud Crowbar 8 und 9, SUSE OpenStack Cloud 7, 8 und 9 sowie die SUSE Linux Enterprise Produkte Software Development Kit 12 SP5, Server for SAP 12 SP2, 12 SP3 und 12 SP4, Server 12 SP2 BCL / LTSS, 12 SP3 BCL / LTSS, 12 SP4 LTSS und 12 SP5 sowie für SUSE Linux Enterprise Module for Web Scripting 12 und SUSE Enterprise Storage 5 Sicherheitsupdates für 'python3' bereit. Für SUSE OpenStack Cloud Crowbar 8 und 9, SUSE OpenStack Cloud 7, 8 und 9 sowie die SUSE Linux Enterprise Produkte Software Development Kit 12 SP5, Server for SAP 12 SP2, 12 SP3 und 12 SP4, Server 12 SP2 BCL / LTSS, 12 SP3 BCL / LTSS, 12 SP4 LTSS und 12 SP5 sowie für SUSE Linux Enterprise Module for Public Cloud 12, SUSE Linux Enterprise Module for Containers 12 und SUSE Enterprise Storage 5 stehen außerdem Sicherheitsupdates für 'python-setuptools' zur Verfügung, die ebenfalls die Schwachstelle adressieren.

Version 13 (2020-12-03 08:40)

Für SUSE OpenStack Cloud 7 und SUSE Linux Enterprise Module for Public Cloud 12 stehen Sicherheitsupdates für 'python-pip' zur Behebung der Schwachstelle bereit.

Version 14 (2020-12-04 08:57)

Für openSUSE Leap 15.2 steht ein Sicherheitsupdate für 'python3' zur Behebung der Schwachstelle zur Verfügung.

Version 15 (2020-12-07 11:55)

Für openSUSE Leap 15.2 steht ein Sicherheitsupdate für 'python-pip' zur Behebung der Schwachstelle zur Verfügung.

Version 16 (2020-12-07 17:08)

Für openSUSE Leap 15.1 stehen Sicherheitsupdates für 'python', 'python3', 'python-pip' und 'python-setuptools' zur Behebung der Schwachstelle zur Verfügung.

Version 17 (2020-12-09 09:11)

Für die Distribution openSUSE Leap 15.2 steht ein weiteres Sicherheitsupdate für Python zur Behebung der Schwachstelle bereit.

Version 18 (2020-12-10 11:02)

Für SUSE Linux Enterprise Module for Python2 15 SP1 und 15 SP2 sowie SUSE Linux Enterprise Module for Basesystem 15 SP1 und 15 SP2 stehen Sicherheitsupdates für 'python-pip' und 'python-scripttest' bereit, um die Schwachstelle zu beheben.

Version 19 (2020-12-14 09:26)

Die Schwachstelle wird auch mit Sicherheitsupdates für 'python' in SUSE Enterprise Storage 5, SUSE Linux Enterprise Server 12 SP2 BCL, SP2 LTSS, SP3 BCL, SP3 LTSS, SP4 LTSS und SP5, für SUSE Linux Enterprise Server for SAP 12 SP2, SP3 und SP4, SUSE Linux Enterprise Workstation Extension 12 SP5 sowie für SUSE OpenStack Cloud 7, 8 und 9 sowie Crowbar 8 und 9 adressiert.

Version 20 (2021-02-09 12:16)

Für SUSE Enterprise Storage 5, SUSE Linux Enterprise Server 12 SP2 BCL / LTSS, 12 SP3 BCL / LTSS, 12 SP4 LTSS und 12 SP5, SUSE Linux Enterprise Server for SAP 12 SP2, 12 SP3 und 12 SP4, SUSE Linux Enterprise Software Development Kit 12 SP5, SUSE Linux Enterprise Module for Web Scripting 12, SUSE OpenStack Cloud 7, 8 und 9 sowie Crowbar 8 und 9 stehen Sicherheitsupdates für 'python3' zur Behebung der Schwachstelle bereit.

Version 21 (2022-03-10 08:38)

Für Oracle Linux 7 (aarch64, x86_64) steht ein Sicherheitsupdate bereit, um die Schwachstelle zu beheben.

Version 22 (2022-04-28 18:27)

Für die Distributionen openSUSE Leap 15.3 und 15.4 sowie für SUSE Linux Enterprise Desktop 15 SP3, SUSE Linux Enterprise High Performance Computing 15 SP3, SUSE Linux Enterprise Module for Basesystem 15 SP3, SUSE Linux Enterprise Module for Python2 15 SP3, SUSE Linux Enterprise Realtime Extension 15 SP2, SUSE Linux Enterprise Server 15 SP3, SUSE Linux Enterprise Server for SAP Applications 15 SP3, SUSE Manager Proxy 4.2 und SUSE Manager Server 4.2 stehen Sicherheitsupdates für 'python-pip' zur Behebung der Schwachstelle bereit.

Version 23 (2022-06-29 09:17)

Für Red Hat Enterprise Linux Server / Workstation / Desktop / for Scientific Computing 7 (x86_64) und Oracle Linux 7 (aarch64, x86_64) stehen Sicherheitsupdates für 'python-virtualenv' bereit, um die Schwachstelle zu beheben.

Version 24 (2023-02-27 10:24)

Für SUSE CaaS Platform 4.0, SUSE Enterprise Storage 6 und 7, SUSE Linux Enterprise High Performance Computing 15 SP1, 15 SP1 LTSS, 15 SP2 und 15 SP2 LTSS, SUSE Linux Enterprise Server 15 SP1, 15 SP1 LTSS, 15 SP2 und 15 SP2 LTSS sowie SUSE Linux Enterprise Server for SAP Applications 15 SP1 und 15 SP2 stehen Sicherheitsupdates für 'python-pip' bereit, um die Schwachstelle und einen weiteren, nicht sicherheitsrelevanten Fehler zu beheben.

Betroffene Software

Entwicklung

Betroffene Plattformen

Netzwerk
Cloud
Linux
Oracle
Hypervisor

Beschreibung:

Ein Angreifer, der einen Server für Python-Pakete kontrolliert oder sich in einer Mittelsmannposition (Man-in-the-Middle) im Netzwerk befindet, kann die Schwachstelle aus der Ferne ausnutzen, um einen Directory-Traversal-Angriff durchzuführen und beliebige Dateien auf einem betroffenen System zu manipulieren.

Für Fedora EPEL 7 steht ein Sicherheitsupdate für 'pip' in Form des Pakets 'python-pip-epel-8.1.2-14.el7' zur Behebung der Schwachstelle im Status 'testing' zur Verfügung.

Schwachstellen:

CVE-2019-20916

Schwachstelle in python-pip ermöglicht Directory-Traversal-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.