Debian DLA-3575-1：python2.7 - LTS 安全更新
critical Nessus 插件 ID 181697
语言：
简介
远程 Debian 主机上缺少一个或多个与安全性相关的更新。描述
远程 Debian 10 主机上安装的程序包受到 dla-3575 公告中提及的多个漏洞影响。- 0 到 3.6.13、3.7.0 到 3.7.10、3.8.0 到 3.8.8、3.9.0 到 3.9.2 版本的 python/cpython 程序包容易受到 Web 缓存中毒问题的影响，可使用名为参数隐身的矢量通过 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 来造成此问题。当攻击者可使用分号 (;) 分隔查询参数时，这些参数可导致代理（以默认配置运行）与服务器之间的请求解释出现差异。这可导致恶意请求被缓存为完全安全的请求。这是因为代理通常不会将分号视为分隔符，所以不会将其包括在未加密参数的缓存密钥中。 (CVE-2021-23336)
- 在 Python 中发现一个缺陷，尤其是在 urllib.parse 模块中。此模块有助于将统一资源定位器 (URL) 字符串拆分为多个组件。此问题涉及如何让 urlparse 方法不审查输入并允许 URL 路径中包含“\r”和“\n”等字符。此缺陷允许攻击者输入构建的 URL，从而导致注入攻击。此缺陷影响 Python 3.10.0b1、3.9.5、3.8.11、3.7.11 和 3.6.14 之前版本。(CVE-2022-0391)
- heapq 中的 heappushpop 导致 3.9 及之前的 Python 存在释放后使用漏洞。(CVE-2022-48560)
- 在 3.9.1 版本之前的 Python 中发现一个 XML External Entity (XXE) 问题。plistlib 模块不再接受 XML plist 文件中的实体声明，以避免出现 XML 漏洞。(CVE-2022-48565)
- 在 3.9.1 及之前的 Python 中，发现 Lib/hmac.py 的 compare_digest 中存在问题。hmac.compare_digest 中的累加器变量可以实现常数时间失败优化。(CVE-2022-48566)
- 3.11.4 之前的 Python 的 urllib.parse 组件中存在一个问题，允许攻击者通过提供以空白字符开头的 URL 绕过阻止列表方法。(CVE-2023-24329)
- 在 3.8.18 版之前的 Python、3.9.18 版之前的 Python 3.9.x、3.10.13 版之前的 Python 3.10.x 以及 3.11.5 版之前的 Python 3.11.x 中发现一个问题。这个问题主要影响使用 TLS 客户端身份验证的服务器（如 HTTP 服务器）。如果已经创建了 TLS 服务器端套接字，则请将数据接收到套接字缓存区中，然后迅速关闭，接着您便会看到短暂出现的窗口，在此期间，SSLSocket 实例会将套接字检测为“未连接”，而且不会初始化握手，缓冲的数据仍可从套接字缓存区读取。如果服务器端 TLS 对等机预期将进行客户端证书认证，此数据就无需接受认证，此外，服务器端 TLS 对等机也无法将其与有效的 TLS 流数据区分开来。数据的大小受到缓冲区适合数量的限制。（TLS 连接无法直接用于数据泄露，因为易受攻击的代码路径要求在 SSLSocket 初始化期间关闭连接。）(CVE-2023-40217)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 python2.7 程序包。对于 Debian 10 buster，已在 2.7.16-2+deb10u3 版本中修复这些问题。
另见
https://security-tracker.debian.org/tracker/source-package/python2.7
https://security-tracker.debian.org/tracker/CVE-2021-23336
https://security-tracker.debian.org/tracker/CVE-2022-0391
https://security-tracker.debian.org/tracker/CVE-2022-48560
https://security-tracker.debian.org/tracker/CVE-2022-48565
https://security-tracker.debian.org/tracker/CVE-2022-48566
https://security-tracker.debian.org/tracker/CVE-2023-24329
插件详情
严重性: Critical
ID: 181697
文件名: debian_DLA-3575.nasl
版本: 1.1
类型: local
代理: unix
发布时间: 2023/9/20
最近更新时间: 2025/1/22
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS 分数来源: CVE-2022-0391
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2022-48565
CVSS v4
风险因素: Critical
Base Score: 9.3
Threat Score: 8.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2023-40217
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:python2.7-minimal, p-cpe:/a:debian:debian_linux:libpython2.7-minimal, p-cpe:/a:debian:debian_linux:python2.7-dev, p-cpe:/a:debian:debian_linux:libpython2.7, p-cpe:/a:debian:debian_linux:python2.7, p-cpe:/a:debian:debian_linux:libpython2.7-dev, cpe:/o:debian:debian_linux:10.0, p-cpe:/a:debian:debian_linux:libpython2.7-dbg, p-cpe:/a:debian:debian_linux:python2.7-doc, p-cpe:/a:debian:debian_linux:python2.7-dbg, p-cpe:/a:debian:debian_linux:libpython2.7-testsuite, p-cpe:/a:debian:debian_linux:libpython2.7-stdlib, p-cpe:/a:debian:debian_linux:python2.7-examples, p-cpe:/a:debian:debian_linux:idle-python2.7
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2023/9/20
漏洞发布日期: 2021/2/15
参考资料信息
CVE: CVE-2021-23336, CVE-2022-0391, CVE-2022-48560, CVE-2022-48565, CVE-2022-48566, CVE-2023-24329, CVE-2023-40217