远程 Debian 11 主机上安装的多个程序包受到 dla-4087 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4087-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2025 年 3 月 20 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u3 CVE ID：CVE-2022-0391 CVE-2025-0938 CVE-2025-1795

    在 Python 编程语言的主要解释器 cpython 3.9 随附的模块中发现多个漏洞。

    CVE-2022-0391

        urllib.parse 模块中的函数未对 URL 进行审查以删除换行符，这可导致注入攻击。

    CVE-2025-0938

        urllib.parse 和 urlparse 模块中的函数接受包含方括号的域名，而这些域名是无效的。这些分隔符仅允许用于 IPv6 和 IPvFuture 主机。此问题可能会导致 Python URL 解析器和其他符合规范的 URL 解析器之间出现差异解析。

    CVE-2025-1795

        电子邮件标头解析和折叠的实现会对用于分隔列表项目的逗号进行编码，这可导致接收应用程序将列表中的两项解释为一项，将其视为一项。

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u3 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Database Server 版本受到 2025 年 10 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 SQLcl (jgit) 组件中存在漏洞。支持的版本中受影响的是 23.4-23.9。利用此漏洞的难度较大，拥有“有效帐户”特权的低权限攻击者可通过 HTTP 进行网络访问，从而破坏 SQLcl (jgit)。除攻击者以外的他人进行交互是实现成功攻击的必要条件。若成功攻击此漏洞，则可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 SQLcl (jgit) 数据。
    (CVE-2025-4949)

  - Oracle Database Server 的 RDBMS (Python) 组件中的漏洞。支持的版本中受影响的是 21.3-21.19 和 23.4-23.9。利用此漏洞的难度较小，具有“经过身份验证的用户”特权且可登录 RDBMS (Python) 执行所在基础设施的低权限攻击者可借此破坏 RDBMS (Python)。除攻击者以外的他人进行交互是实现成功攻击的必要条件。若成功攻击此漏洞，则可导致接管 RDBMS (Python)。
    CVE-2024-12254、CVE-2024-12718、CVE-2024-6923、CVE-2024-8088、CVE-2025-1795、CVE-2025-4138、CVE-2025-4330、CVE-2025-4435、CVE-2025-4517）

  - Oracle Database Server 的 Java VM 组件中存在漏洞。支持的版本中受影响的是 19.3-19.28、21.3-21.19 和 23.4-23.9。利用此漏洞的难度较大，未经身份验证的攻击者可通过 Oracle Net 进行网络访问，从而破坏 Java VM。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Java VM 可访问的数据。(CVE-2025-61881)

  - Oracle Database Server 的 Portable Clusterware 组件中存在漏洞。支持的版本中受影响的是 19.3-19.28、21.3-21.19 和 23.4-23.9。利用此漏洞的难度较小，未经身份验证的攻击者可通过 Bonjour 进行网络访问，从而破坏 Portable Clusterware。虽然漏洞位于 Portable Clusterware 中，但攻击可能对其他产品造成重大影响 (范围更改)。若成功攻击此漏洞，则可导致对 Portable Clusterware 可访问数据子集进行未经授权的读取访问。(CVE-2025-53047)

  - Oracle Database Server 的 Unified Audit 组件中存在的漏洞。支持的版本中受影响的是 23.4-23.9。利用此漏洞的难度较小，拥有 DBA 特权并通过 Oracle Net 访问网络的高权限攻击者可借此破坏 Unified Audit。若成功攻击此漏洞，则可导致在未经授权的情况下更新、插入或删除某些 Unified Audit 可访问数据的访问权限。(CVE-2025-61749)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该程序受到 ALAS2023-2025-917 公告中提及的一个漏洞影响。

    在进行地址列表折行处理时，若分隔逗号位于折行后的行尾且该行需进行 Unicode 编码，则该逗号本身也会被 Unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-871 公告中提及的多个漏洞影响。

    在 CPython 的“venv”模块和 CLI 中发现一个漏洞，即未正确引用创建虚拟环境时提供的路径名称，这使创建者可以将命令注入虚拟环境激活脚本（即 source venv/bin/activate）。这意味着攻击者控制的虚拟环境可在被激活时运行命令。
    非攻击者创建的虚拟环境或在使用前未激活的虚拟环境（即 ./venv/bin/python）不受影响。(CVE-2024-9287)

    Python 标准库函数“urllib.parse.urlsplit”和“urlparse”接受包含方括号的域名，而根据 RFC 3986 标准，此类域名是无效的。方括号仅应用作分隔符，用于在 URL 中指定 IPv6 及 IPvFuture 类型的主机地址。这可能会导致 Python URL 解析器和其他符合规范的 URL 解析器之间出现差异解析。(CVE-2025-0938)

    在进行地址列表折行处理时，若分隔逗号位于折行后的行尾且该行需进行 Unicode 编码，则该逗号本身也会被 Unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python3 版本低于 3.7.16-1。因此，该程序受到 ALAS2-2025-2808 公告中提及的一个漏洞影响。

    在进行地址列表折行处理时，若分隔逗号位于折行后的行尾且该行需进行 Unicode 编码，则该逗号本身也会被 Unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 主机上安装的多个程序包受到公告 USN-7570-1 中提及的多个漏洞影响。

    发现 Python 在解码期间未正确处理某些 unicode 字符。攻击者可能会利用此问题发起拒绝服务攻击。(CVE-2025-4516)

    发现 Python 未能正确处理折叠行中含有列表分隔符的电子邮件标头的 unicode 编码。攻击者可能利用此问题泄露敏感信息。
    (CVE-2025-1795)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在地址列表折叠期间，当分隔逗号在折叠的行结束时，并且该行要进行 unicode 编码，则分隔符本身也会进行 unicode 编码。预期行为是分隔逗号仍然为计划逗号。这可导致地址标头被一些邮件服务器错误解释。 (CVE-2025-1795)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
232991	Debian dla-4087：idle-python3.9 - 安全更新	Nessus	Debian Local Security Checks	2025/3/20	2025/3/20	medium
271256	Oracle Database Server (2025 年 10 月 CPU)	Nessus	Databases	2025/10/23	2025/10/24	high
233704	Amazon Linux 2023：python3、python3-devel、python3-idle (ALAS2023-2025-917)	Nessus	Amazon Linux Local Security Checks	2025/4/1	2025/4/1	low
233393	Amazon Linux 2023：python3.11、python3.11-devel、python3.11-idle (ALAS2023-2025-871)	Nessus	Amazon Linux Local Security Checks	2025/3/27	2025/3/27	medium
233693	Amazon Linux 2：python3 (ALAS-2025-2808)	Nessus	Amazon Linux Local Security Checks	2025/4/1	2025/4/1	low
240097	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04：Python 漏洞 (USN-7570-1)	Nessus	Ubuntu Local Security Checks	2025/6/17	2025/6/17	medium
232012	Linux Distros 未修补的漏洞: CVE-2025-1795	Nessus	Misc.	2025/3/6	2025/10/22	medium

检测

插件搜索

medium

high

low

medium

low

medium

medium