Debian dla-4445：idle-python3.9 - 安全更新
medium Nessus 插件 ID 294786
语言：
简介
远程 Debian 主机上缺少一个或多个与安全相关的更新。描述
远程 Debian 11 主机上安装的多个程序包受到 dla-4445 公告中提及的多个漏洞影响。- ------------------------------------------------------------------------- Debian LTS 公告 DLA-4445-1 [email protected] https://www.debian.org/lts/security/Andrej Shadura 2026 年 1 月 20 日https://wiki.debian.org/LTS
- -------------------------------------------------------------------------
程序包：python3.9 版本：3.9.2-1+deb11u4 CVE ID：CVE-2022-37454 CVE-2025-4516 CVE-2025-6069 CVE-2025-6075 CVE-2025-8194 CVE-2025-8291 CVE-2025-12084 CVE-2025-13836 CVE-2025-13837
cPython 中的多个安全补丁3.9。
CVE-2022-37454
Keccak XKCP SHA-3 实现在 sponge 函数接口中存在整数溢出和缓冲区溢出。这允许攻击者执行任意代码或消除预期的加密属性。
CVE-2025-4516
bytes.decode(unicode_escape, error=ignore|replace) 中的问题可导致崩溃。
CVE-2025-6069
html.parser.HTMLParser 类在处理某些格式错误的特制输入时存在最坏情况下呈二次复杂度的问题，攻击者可能会借此放大拒绝服务攻击的影响。
CVE-2025-6075
如果传递给 os.path.expandvars() 的值由用户控制，扩展环境变量时可能导致性能降低。
CVE-2025-8194
tar 实现会处理具有负偏移的 tar 存档而不发生错误，从而在解析恶意构建的 tar 存档的过程中导致无限循环和死锁。
CVE-2025-8291
“zipfile”模块不会检查ZIP64中央目录结尾 (EOCD) 定位器记录偏移值的有效性，也不会用于定位 ZIP64EOCD 记录，而是假定 ZIP64EOCD 记录是上一个 ZIP 存档中存在的记录。攻击者可滥用此漏洞创建“zipfile”模块以有别于其他 ZIP 实现的方式处理的 ZIP 存档。
CVE-2025-12084
当使用 xml.dom.minidom 方法（例如与 _clear_id_cache() 存在依存关系的 appendChild()）构建嵌套元素时，算法为二次算法。构建过度嵌套的文档时，可用性可能会受到影响。
CVE-2025-13836
从服务器读取 HTTP 响应时，如果未指定读取量，则默认行为是使用 Content-Length。这使得恶意服务器能够让客户端将大量数据读取到内存中，可能导致 OOM 或其他 DoS。
CVE-2025-13837
加载 plist 文件时，plistlib 模块会按文件本身指定的大小读取数据，这意味着恶意文件可以造成 OOM 和 DoS 问题。
对于 Debian 11 bullseye，已在 3.9.2-1+deb11u4 版本中修复这些问题。
我们建议您升级 python3.9 程序包。
如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python3.9
有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS
Tenable 已直接从 Debian 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 idle-python3.9 程序包。另见
https://security-tracker.debian.org/tracker/source-package/python3.9
https://security-tracker.debian.org/tracker/CVE-2022-37454
https://security-tracker.debian.org/tracker/CVE-2025-12084
https://security-tracker.debian.org/tracker/CVE-2025-13836
https://security-tracker.debian.org/tracker/CVE-2025-13837
https://security-tracker.debian.org/tracker/CVE-2025-4516
https://security-tracker.debian.org/tracker/CVE-2025-6069
https://security-tracker.debian.org/tracker/CVE-2025-6075
https://security-tracker.debian.org/tracker/CVE-2025-8194
插件详情
严重性: Medium
ID: 294786
文件名: debian_DLA-4445.nasl
版本: 1.2
类型: local
代理: unix
发布时间: 2026/1/20
最近更新时间: 2026/2/13
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2022-37454
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.3
Threat Score: 2.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:L
CVSS 分数来源: CVE-2025-13836
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:idle-python3.9, p-cpe:/a:debian:debian_linux:libpython3.9-minimal, p-cpe:/a:debian:debian_linux:libpython3.9-dbg, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:python3.9, p-cpe:/a:debian:debian_linux:libpython3.9-dev, p-cpe:/a:debian:debian_linux:python3.9-minimal, p-cpe:/a:debian:debian_linux:python3.9-dbg, p-cpe:/a:debian:debian_linux:libpython3.9-testsuite, p-cpe:/a:debian:debian_linux:libpython3.9, p-cpe:/a:debian:debian_linux:python3.9-venv, p-cpe:/a:debian:debian_linux:python3.9-dev, p-cpe:/a:debian:debian_linux:libpython3.9-stdlib, p-cpe:/a:debian:debian_linux:python3.9-full, p-cpe:/a:debian:debian_linux:python3.9-examples, p-cpe:/a:debian:debian_linux:python3.9-doc
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/1/20
漏洞发布日期: 2022/10/21
参考资料信息
CVE: CVE-2022-37454, CVE-2025-12084, CVE-2025-13836, CVE-2025-13837, CVE-2025-4516, CVE-2025-6069, CVE-2025-6075, CVE-2025-8194, CVE-2025-8291
IAVA: 2026-A-0142