远程 Debian 11 主机上安装的多个程序包受到 dla-4445 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4445-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2026 年 1 月 20 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u4 CVE ID：CVE-2022-37454 CVE-2025-4516 CVE-2025-6069 CVE-2025-6075 CVE-2025-8194 CVE-2025-8291 CVE-2025-12084 CVE-2025-13836 CVE-2025-13837

    cPython 中的多个安全补丁3.9。

    CVE-2022-37454

        Keccak XKCP SHA-3 实现在 sponge 函数接口中存在整数溢出和缓冲区溢出。这允许攻击者执行任意代码或消除预期的加密属性。

    CVE-2025-4516

        bytes.decode(unicode_escape, error=ignore|replace) 中的问题可导致崩溃。

    CVE-2025-6069

        html.parser.HTMLParser 类在处理某些格式错误的特制输入时存在最坏情况下呈二次复杂度的问题，攻击者可能会借此放大拒绝服务攻击的影响。

    CVE-2025-6075

        如果传递给 os.path.expandvars() 的值由用户控制，扩展环境变量时可能导致性能降低。

    CVE-2025-8194

        tar 实现会处理具有负偏移的 tar 存档而不发生错误，从而在解析恶意构建的 tar 存档的过程中导致无限循环和死锁。

    CVE-2025-8291

        “zipfile”模块不会检查ZIP64中央目录结尾 (EOCD) 定位器记录偏移值的有效性，也不会用于定位 ZIP64EOCD 记录，而是假定 ZIP64EOCD 记录是上一个 ZIP 存档中存在的记录。攻击者可滥用此漏洞创建“zipfile”模块以有别于其他 ZIP 实现的方式处理的 ZIP 存档。

    CVE-2025-12084

        当使用 xml.dom.minidom 方法（例如与 _clear_id_cache() 存在依存关系的 appendChild()）构建嵌套元素时，算法为二次算法。构建过度嵌套的文档时，可用性可能会受到影响。

    CVE-2025-13836

        从服务器读取 HTTP 响应时，如果未指定读取量，则默认行为是使用 Content-Length。这使得恶意服务器能够让客户端将大量数据读取到内存中，可能导致 OOM 或其他 DoS。

    CVE-2025-13837

        加载 plist 文件时，plistlib 模块会按文件本身指定的大小读取数据，这意味着恶意文件可以造成 OOM 和 DoS 问题。

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u4 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-4445：idle-python3.9 - 安全更新

medium Nessus 插件 ID 294786

版本 1.3