Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Werkzeug 是 Web Server Gateway Interface Web 应用程序库。使用低于 3.0.6 的 Werkzeug 版本对应的“werkzeug.formparser.MultiPartParser”以解析“multipart/form-data”请求的应用程序(例如所有 flask 应用程序)容易受到一个相对简单但有效的资源耗尽拒绝服务攻击。特别构建的表单提交请求可造成解析器在主内存中分配和阻断上传大小的 3 到 8 倍。没有上限；以 1 Gbit/s 的速度执行的单次上传可在 60 秒内耗尽 32 GB RAM。Werkzeug 版本 3.0.6 修复了此问题。 (CVE-2024-49767)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Azure Linux 3.0 主机上安装的 python-werkzeug 版本低于 测试的版本。因此，该程序受到 CVE-2024-49767 公告中提及的一个漏洞影响。

  - Werkzeug 是 Web Server Gateway Interface Web 应用程序库。使用低于 3.0.6 的 Werkzeug 版本对应的“werkzeug.formparser.MultiPartParser”以解析“multipart/form-data”请求的应用程序(例如所有 flask 应用程序)容易受到一个相对简单但有效的资源耗尽拒绝服务攻击。特别构建的表单提交请求可造成解析器在主内存中分配和阻断上传大小的 3 到 8 倍。没有上限；以 1 Gbit/s 的速度执行的单次上传可在 60 秒内耗尽 32 GB RAM。Werkzeug 版本 3.0.6 修复了此问题。 (CVE-2024-49767)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 22.04 LTS/24.04 LTS/24.10 主机上安装的一个程序包受到 USN-7093-1 公告中提及的漏洞影响。

    发现 Werkzeug 未能正确处理多种表单提交请求。远程攻击者可利用此问题造成 Werkzeug 消耗资源，从而导致拒绝服务。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 IBM Spectrum Protect Plus Web UI 版本低于 10.1.17.1 IBM Spectrum Protect Plus。因此如公告 7237702 所述受到多个漏洞的影响。

  - 这会影响 9.0.0之前的程序包 node-notifier。攻击者可利用此漏洞在 Linux 计算机上运行任意命令原因是在向数组传递选项参数时未对其进行审查。 (CVE-2020-7789)

  - Flask 是一个轻量级 WSGI Web 应用程序框架。在满足以下所有条件时，此框架会缓存包含用于一个客户端的数据的响应，然后由代理将其发送到其他客户端。但如果此代理也缓存了“Set-Cookie”标头，它可能会将一个客户端的“session”Cookie 发送到其他客户端。此问题的严重性取决于应用程序对会话的使用情况，以及此代理在处理 Cookie 方面的行为。具体风险取决于是否满足所有以下条件。1. 应用程序必须托管在不剥离 Cookie 或忽略包含 Cookie 的响应的缓存代理之后。2. 应用程序设置了“session.permanent = True” 3. 应用程序在请求期间的任何时候均未访问或修改会话。4. 启用“SESSION_REFRESH_EACH_REQUEST”（默认）。5. 应用程序未设置“Cache-Control”标头来指示页面为私密页面或不应缓存。之所以发生这种情况是因为易受攻击的 Flask 版本仅在访问或修改会话时设置“Vary: Cookie”标头而不是在刷新会话未经访问或修改而重新发送以更新到期时设置“Vary: Cookie”标头。此问题已在 2.3.2 和 2.2.5 版本中修复。(CVE-2023-30861)

  - Requests 是一个 HTTP 库。自 Requests 2.3.0 起，当重定向到 HTTPS 端点时，Requests 会一直向目标服务器泄露 Proxy-Authorization 标头。这是我们使用 `rebuild_proxies` 向请求重新附加 `Proxy-Authorization` 标头的结果。对于通过隧道发送的 HTTP 连接，代理将识别请求本身的标头并将其删除，然后再转发到目标服务器。但是，当通过 HTTPS 发送时，由于代理无法查看隧道请求，因而必须在 CONNECT 请求中发送 `Proxy-Authorization` 标头。这会导致 Requests 意外将代理凭据转发到目标服务器，从而允许恶意攻击者泄露敏感信息。已在版本 2.31.0 中修补此问题。
    (CVE-2023-32681)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
230988	Linux Distros 未修补的漏洞：CVE-2024-49767	Nessus	Misc.	2025/3/6	2025/10/14	high
215390	Azure Linux 3.0 安全更新python-werkzeug (CVE-2024-49767)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/9/15	medium
210372	Ubuntu 22.04 LTS / 24.04 LTS / 24.10：Werkzeug 漏洞 (USN-7093-1)	Nessus	Ubuntu Local Security Checks	2024/11/5	2024/11/5	medium
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	2025/6/25	2025/6/25	high

检测

插件搜索

high

medium

medium

high