AlmaLinux 9.6 [TuxCare] 安全更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / 等多个漏洞 （ALMALINUX9.6：CLSA-2026：1793265694）
medium Nessus 插件 ID 373631
语言：
简介
AlmaLinux 主机缺少一个或多个安全更新。描述
AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：1793265694 18 公告中提及的多个漏洞的影响。- 为了允许从树内布局（而不是安装的文件布局）运行 Python 版本，在构建时定义了 VPATH 变量并用于定位某些地标 - 具体而言，是 Modules/setup.local。当相对于可执行文件的 VPATH 找到此地标时，Python 会假定其正在源树中运行，并生成不同的默认 sys.path。此代码保留在发布版本中，因此可以在树中构建发布就绪版本。在 Windows 中，由于版本被写入“PCbuild/”，VPATH 的值被设置为“..\..“，从而产生标志性标记”..\..\Modules\setup.local'。此路径位于 Python 安装目录外部，并且可能具有不同的权限，从而可能允许低权限用户创建地标和将被其他受限制的安装发现的备用“Lib”文件夹。由于 Windows 允许所有用户在其操作系统驱动器的根目录中创建文件夹，所有用户的旧默认安装位置（在现已被取代的 EXE 安装程序中）都会发生此类设置。我们建议的 Windows 缓解措施是从旧版安装程序迁移，并使用新的 [Python install manager]（https://www.python.org/downloads/latest/pymanager/） 为当前用户安装。比 Python 安装目录高两级的目录具有同等权限的安装不受影响（一般来说，其他用户完全不能修改按用户安装，消除了权限升级风险，而且可以被特权用户直接修改，因此潜在的篡改无关紧要）。替代缓解措施可能包括抢先创建和限制对“Modules”目录的访问。请注意，仅3.133.14会收到更新后的旧安装程序 - 早期补丁仅作为来源提供。Windows 以外的平台允许重写 VPATH，但由于其通常不会在针对二进制文件的版本中使用单独的目录，因此不太可能在安装目录外部具有标志性引用。涉及 VPATH 的地标检测是缺少更具体地标 （.\pybuilddir.txt） 时的回退，并且为了兼容性而将其包含在内。Python 的未来版本将不再包含回退，因此版本将需要生成或保留pybuilddir.txt文件才能在树中工作。此具有里程碑意义的文件已在 Windows 上 3.11生成，并且在其他平台上生成时间更长。（CVE-2026-12003）
- urllib.request 模块中的 HTTPPasswordMgr 类及其子类 HTTPPasswordMgrWithDefaultRealm 和 HTTPPasswordMgrWithPriorAuth 在将存储的凭据与请求的 URL 进行匹配时未考虑 URL 方案。针对 https:// URL 添加的凭据也用于通过 http:// 向同一主机发出的请求，因此能够将客户端重定向或降级为普通 HTTP（例如，通过 HTTPS 到 HTTP 重定向或路径上位置）的攻击者能够以明文捕获凭据。同样可通过 https:// 发送针对 http:// URL 添加的凭据。现在凭据匹配的范围是按 URL 方案。通过包含方案的 URL 注册的凭据仅用于具有相同方案的请求。通过裸颁发机构（如 example.com 或 example.com:8080）注册的凭据会继续匹配任何方案，从而保持与现有代码的兼容性，包括代理认证。无法立即升级的用户可通过确保应用程序从不向已注册凭据的主机发出明文 http:// 请求来缓解问题，例如不遵循重定向到 http:// URL。（CVE-2026-15806）
- tarfile 模块的 tar 和数据提取筛选器会在目的地外部为名称离开目的地并返回目的地的成员创建目录，例如 ../恶/../dest/sub/file。遏制检查使用解析的路径，但中间目录是根据提供的名称创建的。只会在目标外部创建空目录。成员内容仍在其内部提取。为了返回目的地，成员的名称必须包含目的地目录自己的最终组件，所以提取到安全的随机化目录不会受到影响。这只影响 POSIX 平台。在 Windows 中， ..组件在路径到达文件系统之前已折叠，因此永远不会创建目的地以外的目录。（CVE-2026-19672）
- 处理特别构建的 Unicode 输入（其中包含长时间的组合字符与交替的规范组合类值）时，unicodedata.normalize（） 可能占用过多 CPU 时间。这会影响所有标准化表单。（CVE-2026-3276）
- 可通过构建的链接条目（包括名称为空的或类似目录的符号链接）绕过tarfile.data_filter，以便将之后的存档成员重定向到预期提取目录之外。这允许恶意 tar 存档文件导致 tarfile.extractall（） 以提取进程的权限写入目标目录以外的文件。（CVE-2026-7774）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
根据 TuxCare 公告 ALMALINUX9.6：CLSA-2026：1793265694 中的指南更新受影响的程序包。另见
插件详情
严重性: Medium
ID: 373631
文件名: tuxcare_alma_linux_9.6_CLSA-2026-1793265694.nasl
版本: 1.1
类型: Local
发布时间: 2026/10/29
最近更新时间: 2026/10/29
支持的传感器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: High
分数: 7
百分位: 97.94
Vendor
Vendor Severity: Moderate
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N
CVSS 分数来源: CVE-2026-7774
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.9
Threat Score: 4.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
漏洞信息
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/OS/extended-third-party
易利用性: No known exploits are available
补丁发布日期: 2026/10/29
漏洞发布日期: 2026/5/13
参考资料信息
CVE: CVE-2026-12003, CVE-2026-15806, CVE-2026-19672, CVE-2026-3276, CVE-2026-7774, CVE-2026-8328
CLSA: 2026:1793265694