Amazon Linux 2python-ldap --advisory ALAS2-2025-3083 (ALAS-2025-3083)

medium Nessus 插件 ID 277751

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 python-ldap 版本低于 2.4.15-2。因此，它受到 ALAS2-2025-3083 公告中提及的一个漏洞影响。

python-ldap 是用于 Python 的轻量级目录访问协议 (LDAP) 客户端 API。在低于 3.4.5的版本中当构建的“list”或“dict”提供为“assertion_value”参数且非默认值时可诱骗审查方法“ldap.filter.escape_filter_chars”跳过特殊字符的转义。已配置“escape_mode=1”。方法“ldap.filter.escape_filter_chars”支持 3 种不同的转义模式。当提供“list”或“dict”对象作为“assertion_value”参数时“escape_mode=0”（默认）和“escape_mode=2”刚好会引发异常。但是“escape_mode=1”计算时未执行充分的逻辑无法确保完全转义的返回值。如果应用程序依赖“python-ldap”库中存在漏洞的方法来转义不受信任的用户输入攻击者可能会滥用此漏洞发起 ldap 注入攻击从而可能泄露或操纵本应无法访问的 ldap 数据。 3.4.5 版通过在“ldap.filter.escape_filter_chars”方法开头添加类型检查来修复此问题从而在提供的“assertion_value”参数不属于“str”类型时引发异常。 (CVE-2025-61911)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。