远程 Ubuntu 20.04 LTS/20.10 主机上安装的程序包受到 USN-4940-1 公告中提及的漏洞影响。

  - 在 PyYAML 库 5.4 之前版本中发现一个漏洞，当它通过 full_load 方法或使用 FullLoader 加载程序处理不受信任的 YAML 文件时，容易受到任意代码执行漏洞攻击。如果应用程序使用该库处理不受信任的输入，则容易受到此缺陷的影响。攻击者可利用此缺陷，通过滥用 python/object/new 构造函数在系统上执行任意代码。这是由于对 CVE-2020-1747 的修复不完整所致。(CVE-2020-14343)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Ubuntu 20.04 LTS：PyYAML 漏洞 (USN-4940-1)

critical Nessus 插件 ID 149417

版本 1.4