AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：1790238098公告中提及的多个漏洞的影响。

  - urllib.request 模块中的 HTTPPasswordMgr 类及其子类 HTTPPasswordMgrWithDefaultRealm 和 HTTPPasswordMgrWithPriorAuth 在将存储的凭据与请求的 URL 进行匹配时未考虑 URL 方案。针对 https:// URL 添加的凭据也用于通过 http:// 向同一主机发出的请求，因此能够将客户端重定向或降级为普通 HTTP（例如，通过 HTTPS 到 HTTP 重定向或路径上位置）的攻击者能够以明文捕获凭据。同样可通过 https:// 发送针对 http:// URL 添加的凭据。现在凭据匹配的范围是按 URL 方案。通过包含方案的 URL 注册的凭据仅用于具有相同方案的请求。通过裸颁发机构（如 example.com 或 example.com:8080）注册的凭据会继续匹配任何方案，从而保持与现有代码的兼容性，包括代理认证。无法立即升级的用户可通过确保应用程序从不向已注册凭据的主机发出明文 http:// 请求来缓解问题，例如不遵循重定向到 http:// URL。（CVE-2026-15806）

  - 处理特别构建的 Unicode 输入（其中包含长时间的组合字符与交替的规范组合类值）时，unicodedata.normalize（） 可能占用过多 CPU 时间。这会影响所有标准化表单。（CVE-2026-3276）

  - 可通过构建的链接条目（包括名称为空的或类似目录的符号链接）绕过tarfile.data_filter，以便将之后的存档成员重定向到预期提取目录之外。这允许恶意 tar 存档文件导致 tarfile.extractall（） 以提取进程的权限写入目标目录以外的文件。（CVE-2026-7774）

  - 在 CPython 3.13 和更早版本中，tarfile 模块的数据和 tar 提取过滤器容易受到包含符号链接硬链接的构建存档的影响。这类存档可能导致提取修改目标目录外文件的权限或修改时间，或在提取的树中暴露该文件的内容。（CVE-2026-82049）

  - Lib/ftplib.py 中的 ftpcp（） 函数在修复后 CVE-2021-4189 未更新。虽然 makepasv（） 已修补，将服务器提供的 PASV 主机地址替换为实际的对等机地址 （getpeername（）[0]），但 ftpcp（） 仍会直接调用 parse227（） 并将原始攻击者可控制的 IP 地址和端口传送到 target.sendport（）。此修补程序与 CVE-2021-4189.（CVE-2026-8328）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

AlmaLinux 9.2 [TuxCare] 安全更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / 等多个漏洞（ALMALINUX9.2：CLSA-2026：1790238098）

high Nessus 插件 ID 359892

检测

AlmaLinux 9.2 [TuxCare] 安全更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / 等多个漏洞 （ALMALINUX9.2：CLSA-2026：1790238098）

high Nessus 插件 ID 359892

AlmaLinux 9.2 [TuxCare] 安全更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / 等多个漏洞（ALMALINUX9.2：CLSA-2026：1790238098）