python27:2.7 security, bug fix, and enhancement update

以下項目について対処しました。

[Security Fix]
- python-urllib3 にはクロスオリジンのリダイレクトに従う際に、
Authorization HTTP ヘッダを削除せず、Authorization ヘッダの
中の認証情報を意図しないホストに遺漏する、あるいは平文で転送してしまう脆弱性があります。(CVE-2018-20060)

- python の Lib/http/cookiejar.py の http.cookiejar.DefaultPolicy.domain_return_ok
はドメインを正しく検証しておらず、存在するクッキーを誤ったサーバへ送るよう欺く
ことができます。プログラムが http.cookiejar.DefaultPolicy を用い、
攻撃者がコントロールしているサーバへ HTTP 接続を行うことで、存在しているクッキーが
攻撃者に漏洩してしまう脆弱性があります。(CVE-2018-20852)

- python-urllib3 ライブラリには、攻撃者がリクエストのパラメータを制御できる場合、
CRLF インジェクションが可能な脆弱性があります。(CVE-2019-11236)

- python-urllib3 ライブラリは希望する CA の証明書のセットが CA 証明書の
OS ストアと異なっている場合、誤って処理し、検証の失敗が正しい結果の場合でも
SSL 接続が続行してしまう脆弱性があります。(CVE-2019-11324)

- python3には、複数の '@' 文字を含むメールアドレスを間違ってパースするため、
emailモジュールを使用するアプリケーションがメッセージのFrom/Toヘッダの
いくつかの種類のチェックを騙して、拒否されるべきアドレスを許可する、
CVE-2019-11340 と同様の攻撃が可能な脆弱性があります。(CVE-2019-16056)

- python-requests パッケージには 同じホスト名の https-to-http リダイレクトを
受け取る際に、HTTP Authorization ヘッダを http URI に送信し、ネットワークを
スニッフィングすることにより、リモートの攻撃者が認証情報を見つけやすくする脆弱性
があります。（CVE-2018-18074）