- 修复 sqlalchemy0.5 向后和向前兼容程序包中的一个与限制有关的安全问题。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现 SQLAlchemy（一个用于 Python 的 SQL 工具包和对象关系映射程序）不审查传递到 select() 的 limit/offset 关键字的输入，以及传递到 select.limit()/offset() 的值。这导致攻击者可以对使用不自行实现过滤的 SQLAlchemy 的应用程序执行 SQL 注入攻击。

更新后的 python-sqlalchemy 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

SQLAlchemy 是一个对象关系映射程序 (ORM)，提供灵活的高级 SQL 数据库接口。

已发现 SQLAlchemy 未审查 SQL select 语句的 limit 和 offset 关键字的值。如果使用 SQLAlchemy 的应用程序接受了这些关键字的值，并在将其传递到 SQLAlchemy 之前未对其进行过滤或审查，则可允许攻击者针对该应用程序执行 SQL 注入攻击。(CVE-2012-0805)

建议所有 python-sqlalchemy 用户升级这些更新后的程序包，其中包含用于修正此问题的修补程序。必须重新启动所有正在运行的使用 SQLAlchemy 的应用程序才能使更新生效。

SQLAlchemy 是一个对象关系映射程序 (ORM)，提供灵活的高级 SQL 数据库接口。

已发现 SQLAlchemy 未审查 SQL select 语句的 limit 和 offset 关键字的值。如果使用 SQLAlchemy 的应用程序接受了这些关键字的值，并在将其传递到 SQLAlchemy 之前未对其进行过滤或审查，则可允许攻击者针对该应用程序执行 SQL 注入攻击。(CVE-2012-0805)

建议所有 python-sqlalchemy 用户升级这些更新后的程序包，其中包含用于修正此问题的修补程序。必须重新启动所有正在运行的使用 SQLAlchemy 的应用程序才能使更新生效。

已发现 SQLAlchemy 未审查 SQL select 语句的 limit 和 offset 关键字的值。如果使用 SQLAlchemy 的应用程序接受了这些关键字的值，并且在将其传递到 SQLAlchemy 之前未对其进行过滤或审查，则可允许攻击者执行针对该应用程序的 SQL 注入攻击 (CVE-2012-0805)。

更新后的程序包已进行修补，以修正此问题。

远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2012-0369 公告中提及的漏洞的影响。

    [0.5.5-3]
    - 审查 limit() 和 offset() 的输入 解决 CVE-2012-0805

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-201209-16 中所述漏洞的影响（SQLAlchemy：SQL 注入）

    SQLAlchemy 在 SQL 查询中使用从“limit”
      和“offset”关键词传递到 select() 函数的输入时，未正确对其进行审查。
  影响：

    远程攻击者可利用此漏洞来执行任意 SQL 语句。
  变通方案：

    目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
58542	Fedora 16：python-sqlalchemy0.5-0.5.8-9.fc16 (2012-3412)	Nessus	Fedora Local Security Checks	2012/4/2	2021/1/11	high
58728	Debian DSA-2449-1：sqlalchemy - 缺少输入审查	Nessus	Debian Local Security Checks	2012/4/13	2021/1/11	high
58276	CentOS 6：python-sqlalchemy (CESA-2012:0369)	Nessus	CentOS Local Security Checks	2012/3/8	2021/1/4	high
61278	Scientific Linux 安全更新：SL6.x 中的 python-sqlalchemy	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
58543	Fedora 15：python-sqlalchemy0.5-0.5.8-9.fc15 (2012-3414)	Nessus	Fedora Local Security Checks	2012/4/2	2021/1/11	high
61949	Mandriva Linux 安全公告：python-sqlalchemy (MDVSA-2012:059)	Nessus	Mandriva Local Security Checks	2012/9/6	2021/1/6	high
68492	Oracle Linux 6：python-sqlalchemy (ELSA-2012-0369)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	critical
58284	RHEL 6：python-sqlalchemy (RHSA-2012:0369)	Nessus	Red Hat Local Security Checks	2012/3/8	2021/1/14	high
58687	Fedora 17：python-sqlalchemy0.5-0.5.8-9.fc17 (2012-3373)	Nessus	Fedora Local Security Checks	2012/4/12	2021/1/11	high
62345	GLSA-201209-16 : SQLAlchemy：SQL 注入	Nessus	Gentoo Local Security Checks	2012/9/27	2021/1/6	high

检测

插件搜索

high

high

high

high

high

high

critical

high

high

high