Amazon Linux 2023：python3-waitress (ALAS2023-2024-773)

medium Nessus 插件 ID 212343

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，该软件受到 ALAS2023-2024-773 公告中提及的多个漏洞影响。

Waitress 是适用于 Python 2 和 3 的 Web 服务器网关接口服务器。远程客户端可能会发送一个长度正好为 recv_bytes（默认为 8192）的请求，然后是使用 HTTP 管道的辅助请求。
禁用请求先行预测（默认）后，我们将不会读取任何更多请求，当第一个请求因解析错误而失败时，只需关闭连接。但是，当启用请求先行时，可以处理并接收第一个请求，在读取下一个请求并排入队列时开始将错误消息发送回客户端。这将允许在应关闭连接时，辅助请求由工作线程提供服务。Waitress 3.0.1 修复了此争用条件。变通方案为禁用 channel_request_lookahead，该选项默认设置为 0 以禁用此功能。
(CVE-2024-49768)

Waitress 是用于 Python 2 和 3 的 Web 服务器网关接口服务器。如果远程客户端在 Waitress 有机会调用 getpeername() 之前关闭连接，Waitress 将无法正确清理连接，导致主线程尝试写入不再存在的套接字，但不将其从套接字列表中删除以尝试处理。这会导致忙循环调用写入函数。远程攻击者可耗尽 waitress 所需资源非常少的可用套接字。Waitress 3.0.1 包含移除了争用条件的修复。(CVE-2024-49769)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。