Azure Linux 3.0 安全更新python-waitress (CVE-2022-24761)

high Nessus 插件 ID 295279

语言：

简介

远程 Azure Linux 主机缺少一个或多个安全更新。

描述

远程 Azure Linux 3.0 主机上安装的 python-waitress 版本低于测试的版本。因此，它受到 CVE-2022-24761 公告中提及的一个漏洞影响。

- waitress 是适用于 Python 2 和 3 的 Web 服务器网关接口服务器。当在未正确验证传入 HTTP 请求是否符合 RFC7230 标准的代理后面使用 waitress 版本 2.1.0 和较早版本时Waitress 和前端代理可能对哪里无法达成一致一个请求的开始位置和结束位置。这将允许通过前端代理将请求走私给 waitress，以及执行更多恶意操作。有两类漏洞可能导致请求走私此公告解决了此漏洞使用 Python 的“int()”将字符串解析为整数导致“+10”被解析为“10”或“ 0x01` 被解析为“1”其中 as 标准指定字符串应仅包含数字或十六进制数字
Waitress 不支持区块扩展，但它在未验证区块扩展中不包含非法字符的情况下便将其丢弃。已在 Waitress 2.1.1 中修正此漏洞。有变通方案。在 waitress 前面部署代理时，开启所有功能以确保请求符合 RFC7230 标准。某些代理服务器可能不具备此功能建议用户升级到最新的 waitres 版本。
(CVE-2022-24761)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。