There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - pipenv is a Python development workflow tool. Starting with version 2018.10.9 and prior to version
    2022.1.8, a flaw in pipenv's parsing of requirements files allows an attacker to insert a specially
    crafted string inside a comment anywhere within a requirements.txt file, which will cause victims who use
    pipenv to install the requirements file to download dependencies from a package index server controlled by
    the attacker. By embedding malicious code in packages served from their malicious index server, the
    attacker can trigger arbitrary remote code execution (RCE) on the victims' systems. If an attacker is able
    to hide a malicious `--index-url` option in a requirements file that a victim installs with pipenv, the
    attacker can embed arbitrary malicious code in packages served from their malicious index server that will
    be executed on the victim's host during installation (remote code execution/RCE). When pip installs from a
    source distribution, any code in the setup.py is executed by the install process. This issue is patched in
    version 2022.1.8. The GitHub Security Advisory contains more information about this vulnerability.
    (CVE-2022-21668)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - pipenv 是 Python 开发工作流工具。从版本 2018.10.9 开始到低于版本 2022.1.8的pipenv 要求文件解析中的缺陷允许攻击者在requirements.txt 文件任何位置的注释内插入特别构建的字符串这将导致使用 pipenv 的受害者安装扫描请求文件以从攻击者控制的程序包索引服务器下载依存关系。通过在恶意索引服务器提供的程序包中嵌入恶意代码攻击者可在受害者的系统上触发任意远程代码执行 (RCE)。如果攻击者能够隐藏受害者通过 pipenv 安装的要求文件中的恶意“--index-url”选项则攻击者可在其恶意索引服务器提供的程序包中嵌入任意恶意代码该代码会在安装期间在受害者的主机上执行远程代码执行/RCE。当 pip 从源发行版本中安装时setup.py 中的任何代码都会由安装进程执行。已在版本 2022.1.8 中修补此问题。GitHub 安全公告 包含有关此漏洞的更多信息。
    (CVE-2022-21668)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - pipenv 是 Python 開發工作流程工具。從 2018.10.9 版開始至 2022.1.8版之前pipenv 需求檔案剖析中的瑕疵會允許攻擊者將特製字串插入requirements.txt 檔案內任何位置的註解內這會造成使用 pipenv 的受害者安裝requirements 檔案，從攻擊者控制的套件索引伺服器下載相依性。藉由將惡意程式碼內嵌在惡意索引伺服器提供的套件中攻擊者可在受害者的系統上觸發任意遠端程式碼執行 (RCE)。如果攻擊者能夠在受害者使用 pipenv 安裝的需求檔案中隱藏惡意的 `--index-url` 選項攻擊者可以在安裝期間在受害者的主機上執行的惡意索引伺服器提供的套件中內嵌任意惡意程式碼。 (遠端程式碼執行/RCE)。當 pip 從來源發行版本安裝時setup.py 中的所有程式碼都會由安裝處理程序執行。此問題已在 2022.1.8 版中修補。GitHub 安全性公告 包含有關此弱點的詳細資訊。
    (CVE-2022-21668)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - pipenv は Python 開発ワークフローツールです。バージョン 2018.10.9 以降、バージョン 2022.1.8より前のバージョンでは、pipenv の要件ファイルの解析の欠陥により、攻撃者が、特別に細工された文字列を require.txt ファイル内の任意のコメントに挿入することが可能で、これにより pipenv を使用する被害者が攻撃者が管理するパッケージインデックスサーバーから依存関係をダウンロードする可能性があります。悪意のあるインデックスサーバーから提供されるパッケージに悪意のあるコードを埋め込むことにより、攻撃者は被害者のシステムで任意のリモートコード実行 (RCE) を発生させる可能性があります。攻撃者が、被害者が pipenv でインストールする要件ファイルの悪意のある--index-urlオプションを非表示にできる場合、攻撃者は、悪意のあるインデックスサーバーから提供されるパッケージに、インストール中に被害者のホストで実行される悪意のあるコードを埋め込むことができます。リモートコード実行/RCE。pip がソースディストリビューションからインストールされる場合、setup.py 内のコードはインストールプロセスによって実行されます。この問題には、バージョン 2022.1.8 でパッチが適用されています。この脆弱性に関する詳細は、GitHub セキュリティアドバイザリ に含まれています。
    (CVE-2022-21668)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 37 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2022-8a01f4e871 advisory.

    Automatic update for pipenv-2021.5.29-7.fc37.

    ##### **Changelog**

    ```
    * Thu Feb 24 2022 Tomas Orsava <torsava@redhat.com> - 2021.5.29-7
    - Fix for CVE-2022-21668     Resolves: rhbz#2039830

    ```

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - pipenv is a Python development workflow tool. Starting with version 2018.10.9 and prior to version     2022.1.8, a flaw in pipenv's parsing of requirements files allows an attacker to insert a specially     crafted string inside a comment anywhere within a requirements.txt file, which will cause victims who use     pipenv to install the requirements file to download dependencies from a package index server controlled by     the attacker. By embedding malicious code in packages served from their malicious index server, the     attacker can trigger arbitrary remote code execution (RCE) on the victims' systems. If an attacker is able     to hide a malicious `--index-url` option in a requirements file that a victim installs with pipenv, the     attacker can embed arbitrary malicious code in packages served from their malicious index server that will     be executed on the victim's host during installation (remote code execution/RCE). When pip installs from a     source distribution, any code in the setup.py is executed by the install process. This issue is patched in     version 2022.1.8. The GitHub Security Advisory contains more information about this vulnerability.
    (CVE-2022-21668)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
418049	SCA: security update for pipenv (GHSA-qc9x-gjcv-465w)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
418049	SCA: security update for pipenv (GHSA-qc9x-gjcv-465w)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
259814	Linux Distros 未修补的漏洞：CVE-2022-21668	Nessus	Misc.	2025/8/30	2026/8/25	high
259814	Linux Distros 未修補的弱點：CVE-2022-21668	Nessus	Misc.	2025/8/30	2026/8/25	high
259814	Linux Distros のパッチ未適用の脆弱性: CVE-2022-21668	Nessus	Misc.	2025/8/30	2026/8/25	high
210974	Fedora 37 : pipenv (2022-8a01f4e871)	Nessus	Fedora Local Security Checks	2024/11/14	2024/11/14	high
259814	Linux Distros Unpatched Vulnerability : CVE-2022-21668	Nessus	Misc.	2025/8/30	2026/8/25	high

检测

插件搜索

high

high

high

high

high

high

high