远程主机上安装的 python38 版本低于 3.8.16-1。因此，它会受到 ALAS2PYTHON3.8-2024-014 公告中提及的一个漏洞影响。

    Python 3.11.3 及其之前所有版本的电子邮件模块不会正确解析包含特殊字符的电子邮件地址。RFC2822 标头的错误部分会被识别为 addr-spec 的值。在某些应用程序中，攻击者可以绕过保护机制，而在保护机制中，只有验证收到发送至特定域的电子邮件后才会授予应用程序访问权限（例如，只有 @company.example.com 地址可用于注册）。最新版 Python 的 email/_parseaddr.py 中存在此问题。(CVE-2023-27043)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 9 主机上存在安装的程序包该程序包受到 AXSA:2024-7974:03 公告中提及的漏洞的影响。

    * python：email/_parseaddr.py 中的解析错误会导致元组的电子邮件地址部分的值不正确 (CVE-2023-27043)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 8 主机上存在安装的程序包该程序包受到 AXSA:2024-7427:02 公告中提及的漏洞的影响。

    * python：email/_parseaddr.py 中的解析错误会导致元组的电子邮件地址部分的值不正确 (CVE-2023-27043)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

CentOS Linux 7 主机上存在安装的程序包，该程序包受到 TuxCare CENTOS7：CLSA-2024：2024：1711491407公告中提及的多个漏洞的影响。

  - 3.11.4 之前的 Python 的 urllib.parse 组件中存在一个问题，允许攻击者通过提供以空白字符开头的 URL 绕过阻止列表方法。(CVE-2023-24329)

  - Python 3.11.3 及其之前所有版本的电子邮件模块不会正确解析包含特殊字符的电子邮件地址。RFC2822 标头的错误部分会被识别为 addr-spec 的值。在某些应用程序中，攻击者可以绕过保护机制，而在保护机制中，只有验证收到发送至特定域的电子邮件后才会授予应用程序访问权限（例如，只有 @company.example.com 地址可用于注册）。最新版 Python 的 email/_parseaddr.py 中存在此问题。(CVE-2023-27043)

  - 在 3.8.18 版之前的 Python、3.9.18 版之前的 Python 3.9.x、3.10.13 版之前的 Python 3.10.x 以及 3.11.5 版之前的 Python 3.11.x 中发现一个问题。这个问题主要影响使用 TLS 客户端身份验证的服务器（如 HTTP 服务器）。如果已经创建了 TLS 服务器端套接字，则请将数据接收到套接字缓存区中，然后迅速关闭，接着您便会看到短暂出现的窗口，在此期间，SSLSocket 实例会将套接字检测为“未连接”，而且不会初始化握手，缓冲的数据仍可从套接字缓存区读取。如果服务器端 TLS 对等机预期将进行客户端证书认证，此数据就无需接受认证，此外，服务器端 TLS 对等机也无法将其与有效的 TLS 流数据区分开来。数据的大小受到缓冲区适合数量的限制。（TLS 连接无法直接用于数据泄露，因为易受攻击的代码路径要求在 SSLSocket 初始化期间关闭连接。）(CVE-2023-40217)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 8.8 主机上安装的多个程序包受到 CIQ ciqsa-2026_0940 公告中提及的多个漏洞影响。

    此公告汇总了 CIQ LTS 8.8中 python3 SRPM 的安全修复。它解决了 3 个 CVE：
    CVE-2023-27043、CVE-2022-48564、CVE-2022-48560。

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024: 0586 公告中提及的多个漏洞影响。

  - heapq 中的 heappushpop 导致 3.9 及之前的 Python 存在释放后使用漏洞。(CVE-2022-48560)

  - 在处理二进制格式的畸形 Apple 属性列表文件时，Python 的 plistlib.py 中的 read_ints 通过 3.9.1 很容易因 CPU 和 RAM 耗尽而受到潜在的 DoS 攻击。(CVE-2022-48564)

  - Python 3.11.3 及其之前所有版本的电子邮件模块不会正确解析包含特殊字符的电子邮件地址。RFC2822 标头的错误部分会被识别为 addr-spec 的值。在某些应用程序中，攻击者可以绕过保护机制，而在保护机制中，只有验证收到发送至特定域的电子邮件后才会授予应用程序访问权限（例如，只有 @company.example.com 地址可用于注册）。最新版 Python 的 email/_parseaddr.py 中存在此问题。(CVE-2023-27043)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3980 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3980-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 12 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u2 CVE ID： CVE-2015-20107 CVE-2020-10735 CVE-2021-3426 CVE-2021-3733 CVE-2021-3737 CVE-2021-4189 CVE-2021-28861 CVE-2021-29921 CVE-2022-42919 CVE-2022-45061 CVE-2023-6597 CVE-2023-24329 CVE-2023-27043 CVE-2023-40217 CVE-2024-0397 CVE-2024-0450 CVE-2024-4032 CVE-2024-6232 CVE-2024-6923 CVE-2024-7592 CVE-2024-8088 CVE-2024-9287 CVE-2024-11168 Debian 缺陷：989195 1070135 1059298 1070133

    已修复 Python3 解释器中的多个漏洞。

    CVE-2015-20107

        mailcap 模块不会将转义字符添加到在系统 mailcap 文件中发现的命令中

    CVE-2020-10735

        防止使用极大 int 的 DoS

    CVE-2021-3426

        删除 pydoc getfile 功能，此功能可能遭到滥用，以读取磁盘上的任意文件

    CVE-2021-3733

        urllib 的 AbstractBasicAuthHandler 类中的正则表达式拒绝服务

    CVE-2021-3737

        HTTP 客户机代码中的无限循环

    CVE-2021-4189

        使 ftplib 不信任 PASV 响应

    CVE-2021-28861

        http.server 中的开放重定向漏洞

    CVE-2021-29921

        不再容许 IPv4 地址中存在前导零

    CVE-2022-42919

        不针对多处理使用 Linux 抽象套接字

    CVE-2022-45061

        IDNA 解码器中的 Quadratic 时间

    CVE-2023-6597

        tempfile.TemporaryDirectory 无法删除 dir

    CVE-2023-24329

        剥离 urlsplit 中的 C0 控制和空格字符

    CVE-2023-27043

        拒绝 email.parseaddr() 中的畸形地址

    CVE-2023-40217

        TLS 握手的 ssl.SSLSocket 绕过

    CVE-2024-0397

        ssl.SSLContext 中的争用条件

    CVE-2024-0450

        Quoted-overlap zipbomb DoS

    CVE-2024-4032

        有关 ipaddress 模块中私有地址的错误信息

    CVE-2024-6232

        解析 tarfile 标头时发生 ReDoS

    CVE-2024-6923

        对电子邮件模块标头中的换行符进行编码

    CVE-2024-7592

        解析包含反斜线的 Cookie 的二次方复杂性

    CVE-2024-8088

        在对 zip 存档条目名称进行迭代处理时发生无限循环

    CVE-2024-9287

        venv 激活脚本未引用路径

    CVE-2024-11168

        urllib 函数未正确验证括号里的主机

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u2 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2024-790 公告中提及的多个漏洞影响。

    Python 中 tarfile 模块的 (1) extract 和 (2) extractall 函数中存在目录遍历漏洞，用户协助的远程攻击者可利用此漏洞，通过 TAR 存档中文件名中的 ..（点点）序列覆写任意文件，而此问题与 CVE-2001-1267 相关。(CVE-2007-4559)

    Python 3.11.3 及其之前所有版本的电子邮件模块不会正确解析包含特殊字符的电子邮件地址。RFC2822 标头的错误部分会被识别为 addr-spec 的值。在某些应用程序中，攻击者可以绕过保护机制，而在保护机制中，只有验证收到发送至特定域的电子邮件后才会授予应用程序访问权限（例如，只有 @company.example.com 地址可用于注册）。最新版 Python 的 email/_parseaddr.py 中存在此问题。(CVE-2023-27043)

    ipaddress 模块包含关于特定 IPv4 和 IPv6 地址是被指定为全局可访问还是私有的错误信息。这会影响 ipaddress.IPv4Address、ipaddress.IPv4Network、ipaddress.IPv6Address 和 ipaddress.IPv6Network 类别的 is_private 和 is_global 属性，不会根据 IANA 特殊用途地址注册表的最新信息返回其中的值。

    CPython 3.12.4 和 3.13.0a6 包含来自这些注册表的更新信息，因此实现预期行为。(CVE-2024-4032)

    存在影响 CPython 的中危漏洞。





    在 tarfile.TarFile 标头解析期间允许过多回溯的正则表达式容易受到通过特制 tar 存档实现的 ReDoS 攻击。(CVE-2024-6232)

    存在影响 CPython 的中危漏洞。

    序列化电子邮件消息时，电子邮件模块未正确引用电子邮件标头的换行符，从而允许在序列化电子邮件时注入标头。(CVE-2024-6923)

    存在影响 CPython 的低危漏洞，尤其是“http.cookies”标准库模块。

    针对 cookie 值中引用字符，解析包含反斜线的 cookie 时，解析器将使用具有二次方复杂性的算法，导致在解析该值时占用过量 CPU 资源。(CVE-2024-7592)

    存在对 CPython zipfile 模块造成影响的漏洞。

    迭代 zip 存档中的条目名称时（例如，zipfile.Path 的方法，如 namelist()、iterdir()、extractall() 等），该过程可能会因恶意制作的 zip 存档而陷入无限循环。仅读取元数据或提取 zip 存档的内容时会出现此缺陷。不处理用户控制的 zip 存档的程序不受影响。
    (CVE-2024-8088)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
210099	Amazon Linux 2：python38 (ALASPYTHON3.8-2024-014)	Nessus	Amazon Linux Local Security Checks	2024/11/1	2024/12/11	critical
292169	iracleLinux 9python3.11-3.11.7-1.el9.ML.1 (AXSA:2024-7974:03)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	medium
292308	iracleLinux 8python3-3.6.8-56.el8_9.3.ML.1 (AXSA:2024-7427:02)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	medium
352181	CentOS Linux 7 [TuxCare] 安全更新：python / python-debug / python-devel / python-libs / python-test / 等多个漏洞（CENTOS7：CLSA-2024：1711491407）	Nessus	CentOS Local Security Checks	2026/9/30	2026/9/30	high
356281	Rocky Linux 8.8 [CIQ] 安全更新：platform-python / platform-python-debug / platform-python-devel / etc 多种漏洞（ciqsa-2026_0940）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/12	medium
189784	RHEL 8：python3 (RHSA-2024: 0586)	Nessus	Red Hat Local Security Checks	2024/1/30	2024/11/7	critical
211991	Debian dla-3980：idle-python3.9 - 安全更新	Nessus	Debian Local Security Checks	2024/12/2	2024/12/2	critical
213054	Amazon Linux 2023: python3、python3-devel、python3-idle (ALAS2023-2024-790)	Nessus	Amazon Linux Local Security Checks	2024/12/16	2025/3/10	critical

检测

插件搜索

critical

medium

medium

high

medium

critical

critical

critical