CentOS Linux 7 [TuxCare] 安全更新：python-jinja2 （CENTOS7：CLSA-2025：1765310613）

medium Nessus 插件 ID 360264

语言：

简介

CentOS Linux 主机缺少一个或多个安全更新。

描述

CentOS Linux 7 主机上存在安装的程序包，该程序包受到 TuxCare CENTOS7：CLSA-2025：1765310613 12 公告中提及的漏洞的影响。

- Jinja 是可扩展的模板引擎。在 3.1.5 之前版本中，Jinja 沙盒环境检测 str.format 调用方式时的一个疏忽行为允许控制模板内容的攻击者执行任意 Python 代码。攻击者必须控制模板内容才能利用此漏洞。是否如此取决于使用 Jinja 的应用程序类型。此漏洞会影响执行不受信任模板的应用程序用户。Jinja 的沙盒会捕捉对 str.format 的调用并确保其不会逸出沙盒。Jinja 的沙盒确实会拦截对 str.format 的调用并确保其不会逃逸沙盒环境。但是，攻击者可以存储对恶意字符串格式方法的引用，然后将其传递给调用它的过滤器。Jinja 中没有内置此类过滤器，但用户可通过应用程序中的自定义过滤器提供。修复之后，此类间接调用也由沙盒处理。此漏洞已在 3.1.5 中修复。(CVE-2024-56326)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。