远程 Debian 10 主机上安装的多个程序包受到 dla-3649 公告中提及的一个漏洞影响。

  - Arduino Create Agent 是有助于管理 Arduino 开发的程序包。此漏洞会影响端点 `/v2/pkgs/tools/installed`，以及其处理作为用户输入提供的插件名称的方式。能够向 localhost 界面执行 HTTP 请求，或能够绕过 CORS 配置的用户可以通过特制 HTTP POST 请求删除任意文件或文件夹（属于运行 Arduino Create Agent 的用户）。此问题已在 `1.3.3` 版中解决。建议所有用户都进行升级。目前尚无针对此漏洞的变通方案。(CVE-2023-43803)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3649-1：python-urllib3 - LTS 安全更新

high Nessus 插件 ID 185377

版本 1.0