CVE-2015-2296

描述

The resolve_redirects function in sessions.py in requests 2.1.0 through 2.5.3 allows remote attackers to conduct session fixation attacks via a cookie without a host value in a redirect.

如何修補 CVE-2015-2296

要修補 CVE-2015-2296,請將受影響套件升級到下列已修補版本。

• Debian/requests—升級至 2.4.3-6 或更新版本
• PyPI/requests—升級至 2.6.0 或更新版本
• PyPI/requests—升級至 3bd8afbff29e50b38f889b2f688785a669b9aafc 或更新版本

CVE-2015-2296 正在被利用嗎?

低 — EPSS 為 3.4%,目前沒有觀察到大規模利用活動。

受影響套件(3)

• from 0, < 2.4.3-6
• >= 2.1.0, < 2.6.0
• from 0, < 3bd8afbff29e50b38f889b2f688785a669b9aafc | >= 2.1.0, < 2.6.0

參考連結(15)

• ADVISORYgithub.com/advisories/GHSA-pg2w-x9wp-vw92
• ADVISORYnvd.nist.gov/vuln/detail/CVE-2015-2296
• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2015-2296
• PATCHgithub.com/psf/requests
• WEBadvisories.mageia.org