Amazon Linux 2：python3-jinja2 (ALAS-2025-2735)

medium Nessus 插件 ID 214624

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 python3-jinja2 版本低于 2.7.2-4。因此，它受到 ALAS2-2025-2735 公告中提及的一个漏洞影响。

Jinja 是可扩展的模板引擎。在 3.1.5 之前版本中，Jinja 沙盒环境检测 str.format 调用方式时的一个疏忽行为允许控制模板内容的攻击者执行任意 Python 代码。攻击者必须控制模板内容才能利用此漏洞。是否如此取决于使用 Jinja 的应用程序类型。此漏洞会影响执行不受信任模板的应用程序用户。Jinja 的沙盒会捕捉到对 str.format 的调用并确保其不会逸出沙盒。但是，攻击者可以存储对恶意字符串格式方法的引用，然后将其传递给调用它的过滤器。Jinja 中没有内置此类过滤器，但用户可通过应用程序中的自定义过滤器提供。修复之后，此类间接调用也由沙盒处理。此漏洞已在 3.1.5 中修复。(CVE-2024-56326)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。