AlmaLinux 9.2 [TuxCare] 安全更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / 等多个漏洞 （ALMALINUX9.2：CLSA-2026：1790155146）
medium Nessus 插件 ID 351910
语言：
简介
AlmaLinux 主机缺少一个或多个安全更新。描述
AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：1790155146公告中提及的多个漏洞的影响。- 为了允许从树内布局（而不是安装的文件布局）运行 Python 版本，在构建时定义了 VPATH 变量并用于定位某些地标 - 具体而言，是 Modules/setup.local。当相对于可执行文件的 VPATH 找到此地标时，Python 会假定其正在源树中运行，并生成不同的默认 sys.path。此代码保留在发布版本中，因此可以在树中构建发布就绪版本。在 Windows 中，由于版本被写入“PCbuild/”，VPATH 的值被设置为“..\..“，从而产生标志性标记”..\..\Modules\setup.local'。此路径位于 Python 安装目录外部，并且可能具有不同的权限，从而可能允许低权限用户创建地标和将被其他受限制的安装发现的备用“Lib”文件夹。由于 Windows 允许所有用户在其操作系统驱动器的根目录中创建文件夹，所有用户的旧默认安装位置（在现已被取代的 EXE 安装程序中）都会发生此类设置。我们建议的 Windows 缓解措施是从旧版安装程序迁移，并使用新的 [Python install manager]（https://www.python.org/downloads/latest/pymanager/） 为当前用户安装。比 Python 安装目录高两级的目录具有同等权限的安装不受影响（一般来说，其他用户完全不能修改按用户安装，消除了权限升级风险，而且可以被特权用户直接修改，因此潜在的篡改无关紧要）。替代缓解措施可能包括抢先创建和限制对“Modules”目录的访问。请注意，仅3.133.14会收到更新后的旧安装程序 - 早期补丁仅作为来源提供。Windows 以外的平台允许重写 VPATH，但由于其通常不会在针对二进制文件的版本中使用单独的目录，因此不太可能在安装目录外部具有标志性引用。涉及 VPATH 的地标检测是缺少更具体地标 （.\pybuilddir.txt） 时的回退，并且为了兼容性而将其包含在内。Python 的未来版本将不再包含回退，因此版本将需要生成或保留pybuilddir.txt文件才能在树中工作。此具有里程碑意义的文件已在 Windows 上 3.11生成，并且在其他平台上生成时间更长。（CVE-2026-12003）
- stringprep 模块未正确处理 RFC 3454 表 B.2 或 B.3 中的字符：使用最新的 Unicode 代码点属性，而不是指定的 Unicode 3.2.0。此行为会在利用 IDNA 2003（IDNA 编解码器）和 stringprep 模块的 in_table_b2（） 函数处理域名时造成不匹配。这仅影响包含之前未注册的字符或其 Unicode 属性（例如自 Unicode 3.2.0起更新的大小写折叠行为）的域名。
(CVE-2026-17084)
- tarfile 模块的 tar 和数据提取筛选器会在目的地外部为名称离开目的地并返回目的地的成员创建目录，例如 ../恶/../dest/sub/file。遏制检查使用解析的路径，但中间目录是根据提供的名称创建的。只会在目标外部创建空目录。成员内容仍在其内部提取。为了返回目的地，成员的名称必须包含目的地目录自己的最终组件，所以提取到安全的随机化目录不会受到影响。这只影响 POSIX 平台。在 Windows 中， ..组件在路径到达文件系统之前已折叠，因此永远不会创建目的地以外的目录。（CVE-2026-19672）
- tarfile 在不支持链接的系统上提取链接时，会回退到从存档中提取成员。在这种情况下，过滤器函数运行两次：一次针对提取的成员，另一次将名称设置为链接的位置。对于其中一个调用，返回值被忽略。相反，如果任一调用返回 None，则应跳过该成员。（CVE-2026-87910）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
根据 TuxCare 公告 ALMALINUX9.2：CLSA-2026：1790155146 1 中的指南更新受影响的程序包。另见
插件详情
严重性: Medium
ID: 351910
文件名: tuxcare_alma_linux_9.2_CLSA-2026-1790155146.nasl
版本: 1.1
类型: Local
发布时间: 2026/9/30
最近更新时间: 2026/9/30
支持的传感器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: High
分数: 7
百分位: 98.23
Vendor
Vendor Severity: Moderate
CVSS v2
风险因素: Medium
基本分数: 6.4
时间分数: 4.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:P
CVSS 分数来源: CVE-2026-17084
CVSS v3
风险因素: Medium
基本分数: 5.3
时间分数: 4.6
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.3
Threat Score: 1.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
CVSS 分数来源: CVE-2026-19672
漏洞信息
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/OS/extended-third-party
易利用性: No known exploits are available
补丁发布日期: 2026/9/23
漏洞发布日期: 2026/6/16
参考资料信息
CVE: CVE-2026-12003, CVE-2026-17084, CVE-2026-19672, CVE-2026-87910
CLSA: 2026:1790155146