Oracle Linux 8:python38: 3.8 / 和 / python38-devel: 3.8 (ELSA-2023-2763)

high Nessus 插件 ID 176300

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2023-2763 公告中提及的多个漏洞的影响。

- 在低于 3.11.1 版的 Python 中发现一个问题 。处理 IDNA (RFC 3490) 解码器的某些输入时,一个路径中存在不必要的二次算法,因此向解码器显示的特别构建的过长名称可导致 CPU 拒绝服务。主机名通常由可能受到恶意执行者控制的远程服务器提供;在这种情况下,它们可在尝试使用攻击者提供的假想主机名的客户端上触发过度消耗 CPU。
例如,攻击负载可放置在具有状态代码 302 的 HTTP 响应的 Location 标头中。计划在 3.11.1、 3.10.9、 3.9.16、 3.8.16 和 3.7.16 版中进行修复。(CVE-2022-45061)

- 在 python 中发现一个缺陷。在使用非二进制基底的具有二次时间复杂度的算法中,当使用 int(text) 时,系统可能需要 50 秒才能解析具有 100,000 位数的 int 字符串,需要 5 秒解析 1,000,000 位数的 int 字符串(二进制基数 2、4、8、16 和 32 的 float、decimal、int.from_bytes() 和 int() 不受影响)。此漏洞最大的威胁在于系统可用性。(CVE-2020-10735)

- ** 有争议 ** Python 3.x 至 3.10 版在 lib/http/server.py 中有一个开放重定向漏洞,这是由未针对 URI 路径开头的多个 (/) 提供保护而引起的,可能会导致信息泄露。
注意:第三方对此问题存在争议,因为 http.server.html 文档页面存在警告:
不建议将 http.server 用于生产用途,而仅用于基本的安全检查。(CVE-2021-28861)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

更新受影响的程序包。

另见

https://linux.oracle.com/errata/ELSA-2023-2763.html

插件详情

严重性: High

ID: 176300

文件名: oraclelinux_ELSA-2023-2763.nasl

版本: 1.0

类型: local

代理: unix

发布时间: 2023/5/24

最近更新时间: 2023/5/24

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: High

基本分数: 7.8

时间分数: 6.1

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS 分数来源: CVE-2021-28861

CVSS v3

风险因素: High

基本分数: 7.4

时间分数: 6.7

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:oracle:linux:python38-tkinter, p-cpe:/a:oracle:linux:python38-urllib3, p-cpe:/a:oracle:linux:python38-wcwidth, p-cpe:/a:oracle:linux:python38-wheel, p-cpe:/a:oracle:linux:python38-wheel-wheel, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:python38, p-cpe:/a:oracle:linux:python38-cython, p-cpe:/a:oracle:linux:python38-pymysql, p-cpe:/a:oracle:linux:python38-asn1crypto, p-cpe:/a:oracle:linux:python38-atomicwrites, p-cpe:/a:oracle:linux:python38-attrs, p-cpe:/a:oracle:linux:python38-babel, p-cpe:/a:oracle:linux:python38-cffi, p-cpe:/a:oracle:linux:python38-chardet, p-cpe:/a:oracle:linux:python38-cryptography, p-cpe:/a:oracle:linux:python38-debug, p-cpe:/a:oracle:linux:python38-devel, p-cpe:/a:oracle:linux:python38-idle, p-cpe:/a:oracle:linux:python38-idna, p-cpe:/a:oracle:linux:python38-jinja2, p-cpe:/a:oracle:linux:python38-libs, p-cpe:/a:oracle:linux:python38-lxml, p-cpe:/a:oracle:linux:python38-markupsafe, p-cpe:/a:oracle:linux:python38-mod_wsgi, p-cpe:/a:oracle:linux:python38-more-itertools, p-cpe:/a:oracle:linux:python38-numpy, p-cpe:/a:oracle:linux:python38-numpy-doc, p-cpe:/a:oracle:linux:python38-numpy-f2py, p-cpe:/a:oracle:linux:python38-packaging, p-cpe:/a:oracle:linux:python38-pip, p-cpe:/a:oracle:linux:python38-pip-wheel, p-cpe:/a:oracle:linux:python38-pluggy, p-cpe:/a:oracle:linux:python38-ply, p-cpe:/a:oracle:linux:python38-psutil, p-cpe:/a:oracle:linux:python38-psycopg2, p-cpe:/a:oracle:linux:python38-psycopg2-doc, p-cpe:/a:oracle:linux:python38-psycopg2-tests, p-cpe:/a:oracle:linux:python38-py, p-cpe:/a:oracle:linux:python38-pycparser, p-cpe:/a:oracle:linux:python38-pyparsing, p-cpe:/a:oracle:linux:python38-pysocks, p-cpe:/a:oracle:linux:python38-pytest, p-cpe:/a:oracle:linux:python38-pytz, p-cpe:/a:oracle:linux:python38-pyyaml, p-cpe:/a:oracle:linux:python38-requests, p-cpe:/a:oracle:linux:python38-rpm-macros, p-cpe:/a:oracle:linux:python38-scipy, p-cpe:/a:oracle:linux:python38-setuptools, p-cpe:/a:oracle:linux:python38-setuptools-wheel, p-cpe:/a:oracle:linux:python38-six, p-cpe:/a:oracle:linux:python38-test

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux

可利用: true

易利用性: Exploits are available

补丁发布日期: 2023/5/23

漏洞发布日期: 2022/8/23

参考资料信息

CVE: CVE-2020-10735, CVE-2021-28861, CVE-2022-45061

IAVA: 2022-A-0467-S, 2023-A-0061-S