远程主机上安装的 python 版本低于 2.7.18-1。因此，该应用程序受到 ALAS2-2024-2400 公告中提及的漏洞的影响。

  - 在 3.9.1 及之前的 Python 中，发现 Lib/hmac.py 的 compare_digest 中存在问题。hmac.compare_digest 中的累加器变量可以实现常数时间失败优化。(CVE-2022-48566)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python38 版本低于 3.8.15-1。因此，它受到 ALAS2PYTHON3.8-2023-007 公告中提及的多个漏洞影响。

  - 在 python 中发现一个缺陷。在使用非二进制基底的具有二次时间复杂度的算法中，当使用 int(text) 时，系统可能需要 50 秒才能解析具有 100,000 位数的 int 字符串，需要 5 秒解析 1,000,000 位数的 int 字符串（二进制基数 2、4、8、16 和 32 的 float、decimal、int.from_bytes() 和 int() 不受影响）。此漏洞最大的威胁在于系统可用性。(CVE-2020-10735)

  - 在 3.9.1 及之前的 Python 中，发现 Lib/hmac.py 的 compare_digest 中存在问题。hmac.compare_digest 中的累加器变量可以实现常数时间失败优化。(CVE-2022-48566)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS/22.04 LTS 主机上安装的程序包受到 USN-7180-1 公告中提及的多个漏洞的影响。

    发现 Python 未能正确处理某些脚本。攻击者可能利用此问题执行任意代码或造成崩溃。(CVE-2022-48560)

    发现 Python 未能正确处理 plist 文件中的 XML 实体声明。攻击者可能利用此漏洞执行 XML 外部实体 (XXE) 注入，从而导致拒绝服务或信息泄露。(CVE-2022-48565)

    发现 Python 未能正确为 crypto 操作提供常数时间处理。攻击者可能利用此问题来执行时序攻击并恢复敏感信息。
    (CVE-2022-48566)

    发现 Python 未能正确处理某些输入。如果用户或自动化系统受到诱骗运行特别构建的输入，则远程攻击者可能利用此问题导致拒绝服务。(CVE-2023-24329)

    已发现 ssl.SSLSocket 的 Python 实例容易发生 TLS 握手绕过。
    攻击者可能利用此问题导致应用程序将 TLS 握手之前未经身份验证的接收数据视为 TLS 握手之后经过身份验证的数据。(CVE-2023-40217)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python3 版本低于 3.7.10-1。因此，该软件受到 ALAS2-2023-2317 公告中提及的多个漏洞影响。

    在 Python 中发现一个缺陷。内置模块 httplib 和 http.client（分别包含在 Python 2 和 Python 3 中）未正确验证 HTTP 请求方法中的 CRLF 序列，可能允许通过注入其他 HTTP 标头来操纵请求。此漏洞最主要的威胁对象是机密性和完整性。(CVE-2020-26116)

    在 Python3 的 Lib/test/multibytecodec_support.py CJK 编解码器测试中，对通过 HTTP 检索的内容调用 eval()。
    (CVE-2020-27619)

    在 Python 3.9.1 及之前版本中，plistlib.py 中的 read_ints 在处理二进制格式的格式错误的 Apple 属性列表文件时，容易因 CPU 和 RAM 耗尽而受到潜在的 DoS 攻击。(CVE-2022-48564)

    - 在 3.9.1 版本之前的 Python 中发现一个 XML External Entity (XXE) 问题。plistlib 模块不再接受 XML plist 文件中的实体声明，以避免出现 XML 漏洞。(CVE-2022-48565)

    在 Python 及之前 3.9.1版本的 Lib/hmac.py 中的 compare_digest 中发现问题。hmac.compare_digest 中的累加器变量可以实现常数时间失败优化。(CVE-2022-48566)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-6400-1 公告中提及的一个漏洞影响。

  - 在 3.9.1 及之前的 Python 中，发现 Lib/hmac.py 的 compare_digest 中存在问题。hmac.compare_digest 中的累加器变量可以实现常数时间失败优化。(CVE-2022-48566)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的程序包受到 dla-3575 公告中提及的多个漏洞影响。

  - 0 到 3.6.13、3.7.0 到 3.7.10、3.8.0 到 3.8.8、3.9.0 到 3.9.2 版本的 python/cpython 程序包容易受到 Web 缓存中毒问题的影响，可使用名为参数隐身的矢量通过 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 来造成此问题。当攻击者可使用分号 (;) 分隔查询参数时，这些参数可导致代理（以默认配置运行）与服务器之间的请求解释出现差异。这可导致恶意请求被缓存为完全安全的请求。这是因为代理通常不会将分号视为分隔符，所以不会将其包括在未加密参数的缓存密钥中。 (CVE-2021-23336)

  - 在 Python 中发现一个缺陷，尤其是在 urllib.parse 模块中。此模块有助于将统一资源定位器 (URL) 字符串拆分为多个组件。此问题涉及如何让 urlparse 方法不审查输入并允许 URL 路径中包含“\r”和“\n”等字符。此缺陷允许攻击者输入构建的 URL，从而导致注入攻击。此缺陷影响 Python 3.10.0b1、3.9.5、3.8.11、3.7.11 和 3.6.14 之前版本。(CVE-2022-0391)

  - heapq 中的 heappushpop 导致 3.9 及之前的 Python 存在释放后使用漏洞。(CVE-2022-48560)

  - 在 3.9.1 版本之前的 Python 中发现一个 XML External Entity (XXE) 问题。plistlib 模块不再接受 XML plist 文件中的实体声明，以避免出现 XML 漏洞。(CVE-2022-48565)

  - 在 3.9.1 及之前的 Python 中，发现 Lib/hmac.py 的 compare_digest 中存在问题。hmac.compare_digest 中的累加器变量可以实现常数时间失败优化。(CVE-2022-48566)

  - 3.11.4 之前的 Python 的 urllib.parse 组件中存在一个问题，允许攻击者通过提供以空白字符开头的 URL 绕过阻止列表方法。(CVE-2023-24329)

  - 在 3.8.18 版之前的 Python、3.9.18 版之前的 Python 3.9.x、3.10.13 版之前的 Python 3.10.x 以及 3.11.5 版之前的 Python 3.11.x 中发现一个问题。这个问题主要影响使用 TLS 客户端身份验证的服务器（如 HTTP 服务器）。如果已经创建了 TLS 服务器端套接字，则请将数据接收到套接字缓存区中，然后迅速关闭，接着您便会看到短暂出现的窗口，在此期间，SSLSocket 实例会将套接字检测为“未连接”，而且不会初始化握手，缓冲的数据仍可从套接字缓存区读取。如果服务器端 TLS 对等机预期将进行客户端证书认证，此数据就无需接受认证，此外，服务器端 TLS 对等机也无法将其与有效的 TLS 流数据区分开来。数据的大小受到缓冲区适合数量的限制。（TLS 连接无法直接用于数据泄露，因为易受攻击的代码路径要求在 SSLSocket 初始化期间关闭连接。）(CVE-2023-40217)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的程序包受到 dla-3614 公告中提及的多个漏洞影响。

  - heapq 中的 heappushpop 导致 3.9 及之前的 Python 存在释放后使用漏洞。(CVE-2022-48560)

  - 在处理二进制格式的畸形 Apple 属性列表文件时，Python 的 plistlib.py 中的 read_ints 通过 3.9.1 很容易因 CPU 和 RAM 耗尽而受到潜在的 DoS 攻击。(CVE-2022-48564)

  - 在 3.9.1 版本之前的 Python 中发现一个 XML External Entity (XXE) 问题。plistlib 模块不再接受 XML plist 文件中的实体声明，以避免出现 XML 漏洞。(CVE-2022-48565)

  - 在 3.9.1 及之前的 Python 中，发现 Lib/hmac.py 的 compare_digest 中存在问题。hmac.compare_digest 中的累加器变量可以实现常数时间失败优化。(CVE-2022-48566)

  - 在 3.8.18 版之前的 Python、3.9.18 版之前的 Python 3.9.x、3.10.13 版之前的 Python 3.10.x 以及 3.11.5 版之前的 Python 3.11.x 中发现一个问题。这个问题主要影响使用 TLS 客户端身份验证的服务器（如 HTTP 服务器）。如果已经创建了 TLS 服务器端套接字，则请将数据接收到套接字缓存区中，然后迅速关闭，接着您便会看到短暂出现的窗口，在此期间，SSLSocket 实例会将套接字检测为“未连接”，而且不会初始化握手，缓冲的数据仍可从套接字缓存区读取。如果服务器端 TLS 对等机预期将进行客户端证书认证，此数据就无需接受认证，此外，服务器端 TLS 对等机也无法将其与有效的 TLS 流数据区分开来。数据的大小受到缓冲区适合数量的限制。（TLS 连接无法直接用于数据泄露，因为易受攻击的代码路径要求在 SSLSocket 初始化期间关闭连接。）(CVE-2023-40217)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 23.10 主机上安装的多个程序包受到公告 USN-6891-1 中提及的多个漏洞影响。

    发现 Python 未能正确处理某些输入。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2015-20107)

    发现 Python 未能正确使用易受灾难性回溯影响的正则表达式。远程攻击者可能利用此问题造成拒绝服务。此问题仅影响 Ubuntu 14.04 LTS。（CVE-2018-1060、CVE-2018-1061）

    发现 Python 无法初始化 Expat 哈希 salt。远程攻击者可能利用此问题造成哈希碰撞，从而导致拒绝服务。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2018-14647)

    发现 Python 未能正确处理某些 pickle 文件。攻击者可能利用此问题消耗内存，从而导致拒绝服务。此问题仅影响 Ubuntu 14.04 LTS。
    (CVE-2018-20406)

    发现 Python 在处理 cookie 时，未能正确验证域名。攻击者可能诱骗 Python 将 cookie 发送到错误的域名。此问题仅影响 Ubuntu 14.04 LTS。
    (CVE-2018-20852)

    Jonathan Birch 和 Panayiotis Panayiotou 发现 Python 在 NFKC 规范化期间，未能正确处理 Unicode 编码。攻击者可能利用此问题获取敏感信息。此问题仅影响 Ubuntu 14.04 LTS。（CVE-2019-9636、CVE-2019-10160）

    发现 Python 未能正确解析某些电子邮件地址。远程攻击者可利用此问题，诱使 Python 应用程序接受本应拒绝的电子邮件地址。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2019-16056)

    发现 Python 文档 XML-RPC 服务器未正确处理某些字段。远程攻击者可利用此问题执行跨站脚本 (XSS) 攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2019-16935)

    发现 Python 文档包含一个误导性信息。对此信息的错误假设可能会导致安全问题。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2019-17514)

    据发现，Python 未能正确从请求中剥离某些字符。远程攻击者可利用此问题执行 CRLF 注入。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2019-18348)

    发现 Python 未能正确处理某些 TAR 存档。攻击者可能会利用此问题发起拒绝服务攻击。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2019-20907)

    Colin Read 和 Nicolas Edet 发现 Python 未能正确处理某些 X509 证书的解析。
    攻击者可能利用此问题造成 Python 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2019-5010)

    发现未能正确处理某些 ZIP 文件。攻击者可能会利用此问题发起拒绝服务攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2019-9674)

    发现 Python 未能正确处理某些 url。远程攻击者可能利用此问题执行 CRLF 注入攻击。此问题仅影响 Ubuntu 14.04 LTS。（CVE-2019-9740、CVE-2019-9947）

    Sihoon Lee 发现 Python 未能正确处理 local_file: scheme。远程攻击者可能利用此问题绕过黑名单机制。此问题仅影响 Ubuntu 14.04 LTS。
    (CVE-2019-9948)

    发现 Python 未能正确处理某些 IP 值。攻击者可能会利用此问题发起拒绝服务攻击。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2020-14422)

    发现 Python 未能正确处理某些字符序列。远程攻击者可能利用此问题执行 CRLF 注入。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2020-26116)

    发现 Python 未能正确处理某些输入。攻击者可能利用此问题执行任意代码或造成拒绝服务。此问题仅影响 Ubuntu 14.04 LTS。
    (CVE-2020-27619, CVE-2021-3177)

    据发现，Python 未能正确处理某些 HTTP 请求。攻击者可能会利用此问题发起拒绝服务攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2020-8492)

    发现 Python stdlib ipaddress API 未能正确处理八进制字符串。远程攻击者可能利用此问题来执行多种攻击，包括绕过某些访问限制。此问题仅影响 Ubuntu 18.04 LTS。(CVE-2021-29921)

    David Schwrer 发现 Python 未能正确处理某些输入。攻击者可能利用此问题泄露敏感信息。此问题仅影响 Ubuntu 18.04 LTS。(CVE-2021-3426)

    发现 Python 未能正确处理某些 RFC。攻击者可能会利用此问题发起拒绝服务攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2021-3733)

    发现 Python 未能正确处理某些服务器响应。攻击者可能会利用此问题发起拒绝服务攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2021-3737)

    发现 Python 未能正确处理某些 FTP 请求。攻击者可能利用此问题泄露敏感信息。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2021-4189)

    发现 Python 未能正确处理某些输入。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2022-0391)

    Devin Jeanpierre 发现 Python 在使用 multiprocessing 模块时未能正确处理套接字。本地攻击者可能利用此问题执行任意代码并升级权限。此问题仅影响 Ubuntu 22.04 LTS。(CVE-2022-42919)

    发现 Python 未能正确处理某些输入。如果用户或自动化系统受到诱骗运行特别构建的输入，则远程攻击者可能利用此问题导致拒绝服务。此问题仅影响 Ubuntu 14.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 22.04 LTS。
    (CVE-2022-45061, CVE-2023-24329)

    发现 Python 未能正确处理某些脚本。攻击者可能利用此问题执行任意代码或造成崩溃。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-48560)

    发现 Python 未能正确处理某些 plist 文件。如果用户或自动化系统受到诱骗处理特别构建的 plist 文件，攻击者可能会使用此问题来消耗资源，从而导致拒绝服务。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-48564)

    发现 Python 未能正确处理 plist 文件中的 XML 实体声明。攻击者可能利用此漏洞执行 XML 外部实体 (XXE) 注入，从而导致拒绝服务或信息泄露。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-48565)

    发现 Python 未能正确为 crypto 操作提供常数时间处理。攻击者可能利用此问题来执行时序攻击并恢复敏感信息。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-48566)

    已发现 ssl.SSLSocket 的 Python 实例容易发生 TLS 握手绕过。
    攻击者可能利用此问题导致应用程序将 TLS 握手之前未经身份验证的接收数据视为 TLS 握手之后经过身份验证的数据。此问题仅影响 Ubuntu 14.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2023-40217)

    发现 Python 在规范化路径名称时，未能正确处理空字节。攻击者可能利用此问题绕过某些文件名检查。此问题仅影响 Ubuntu 22.04 LTS。
    (CVE-2023-41105)

    发现 Python 未能正确处理带某些参数的权限。攻击者可能利用此问题在启动新进程之前维护原始进程的组。此问题仅影响 Ubuntu 23.10。(CVE-2023-6507)

    发现 Python 未能正确处理 temp 文件的符号链接。攻击者可能利用此问题修改文件的权限。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 23.10。(CVE-2023-6597)

    发现 Python 未能正确处理某些特制的 zip 文件。攻击者可能利用此问题造成程序崩溃，从而导致拒绝服务。(CVE-2024-0450)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
187840	Amazon Linux 2：python (ALAS-2024-2400)	Nessus	Amazon Linux Local Security Checks	2024/1/9	2024/12/11	medium
181954	Amazon Linux 2：python38 (ALASPYTHON3.8-2023-007)	Nessus	Amazon Linux Local Security Checks	2023/9/27	2024/12/11	medium
213499	Ubuntu 20.04 LTS / 22.04 LTS：Python 漏洞 (USN-7180-1)	Nessus	Ubuntu Local Security Checks	2025/1/6	2025/1/6	critical
183926	Amazon Linux 2：python3 (ALAS-2023-2317)	Nessus	Amazon Linux Local Security Checks	2023/10/26	2025/4/11	critical
181944	Ubuntu 16.04 ESM / 18.04 ESM：Python 漏洞 (USN-6400-1)	Nessus	Ubuntu Local Security Checks	2023/9/27	2024/8/27	medium
181697	Debian DLA-3575-1：python2.7 - LTS 安全更新	Nessus	Debian Local Security Checks	2023/9/20	2025/1/22	high
182942	Debian DLA-3614-1：python3.7 - LTS 安全更新	Nessus	Debian Local Security Checks	2023/10/11	2025/1/22	high
202187	Ubuntu 14.04 LTS/16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS/23.10：Python 漏洞 (USN-6891-1)	Nessus	Ubuntu Local Security Checks	2024/7/11	2024/9/18	critical

检测

插件搜索

medium

medium

critical

critical

medium

high

high

critical