远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:5962 公告中提及的多个漏洞的影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * python：不正确的 IPv4 和 IPv6 专用范围 (CVE-2024-4032)

    * pypa/setuptools：在 pypa/setuptools 的 package_index 模块中，通过 download 函数存在远程代码执行漏洞 (CVE-2024-6345)

    * cpython：python：电子邮件模块未正确引用电子邮件标头中的换行符，进行可造成标头注入 (CVE-2024-6923)

    * python：cpython：来自 NVD 收集器 (CVE-2024-8088)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:8103 公告中提及的漏洞的影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * cpython：python：电子邮件模块未正确引用电子邮件标头中的换行符，进行可造成标头注入 (CVE-2024-6923)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024:6179 公告中提及的一个漏洞影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * cpython：python：电子邮件模块未正确引用电子邮件标头中的换行符，进行可造成标头注入 (CVE-2024-6923)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024:6909 公告中提及的多个漏洞影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * cpython：python：电子邮件模块未正确引用电子邮件标头中的换行符，进行可造成标头注入 (CVE-2024-6923)

    * python：cpython：tarfile：在解析标头值时通过过度回溯造成 ReDos (CVE-2024-6232)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:6962 公告中提及的多个漏洞的影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * python：不正确的 IPv4 和 IPv6 专用范围 (CVE-2024-4032)

    * cpython：python：电子邮件模块未正确引用电子邮件标头中的换行符，进行可造成标头注入 (CVE-2024-6923)

    * python：cpython：来自 NVD 收集器 (CVE-2024-8088)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机上存在安装的程序包该程序包受到 ALSA-2024:6961 公告中提及的多个漏洞的影响。

    * python：不正确的 IPv4 和 IPv6 专用范围 (CVE-2024-4032)
    * cpython：python：电子邮件模块未正确引用电子邮件标头中的换行符，进行可造成标头注入 (CVE-2024-6923)
    * python：cpython：迭代恶意 ZIP 文件可导致拒绝服务 (CVE-2024-8088)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2024-6962 公告中提及的多个漏洞影响。

    - CVE-2024-8088 的安全修复 解决：RHEL-55934
    - CVE-2024-6923 的安全修复 解决：RHEL-53089

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4010 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4010-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 1 月 10 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python-django 版本：2:2.2.28-1~deb11u4 CVE ID： CVE-2024-6923

    针对 python3.9 源程序包中 CVE-2024-6923 的补丁（作为 DLA 3980-1 [0] 中的更新套件的一部分发布）在电子邮件模块中引入了更安全的输入处理，以提高防范电子邮件标头注入攻击的安全性。

    但是，如果在 python-django 程序包中使用惰性转换字符串，此更改会在无意间中断电子邮件的发送，从而导致程序不再从源构建该程序包。

    由于 Python 电子邮件模块以前的这种行为可以通过传递 strict=False 标记启用，因此 python-django 程序包现在会执行此操作。Django 会在别处处理出站电子邮件时检测和/或编码新行。

    对于 Debian 11 bullseye，已在 2:2.2.28-1~deb11u4 版本中执行此变更。

    我们建议您升级 python-django 程序包。

    如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-django

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

      [0] https://lists.debian.org/debian-lts-announce/2024/12/msg00000.html

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024:7415 公告中提及的多个漏洞影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * cpython：python：电子邮件模块未正确引用电子邮件标头中的换行符，进行可造成标头注入 (CVE-2024-6923)

    * python：cpython：tarfile：在解析标头值时通过过度回溯造成 ReDos (CVE-2024-6232)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python3 版本低于 3.7.16-1。因此，该软件受到 ALAS2-2025-2754 公告中提及的多个漏洞影响。

    urllib.parse.urlsplit() 和 urlparse() 函数未正确验证括号里的主机 (“[]”)，允许非 IPv6 或 IPvFuture 的主机。此行为不符合 RFC 3986 ，并且如果多个 URL 解析器处理 URL，可能会产生服务器端请求伪造 (SSRF) 漏洞。(CVE-2024-11168)

    存在影响 CPython 的中危漏洞。

    序列化电子邮件消息时，电子邮件模块未正确引用电子邮件标头的换行符，从而允许在序列化电子邮件时注入标头。(CVE-2024-6923)

    存在影响 CPython 的低危漏洞，尤其是“http.cookies”标准库模块。

    针对 cookie 值中引用字符，解析包含反斜线的 cookie 时，解析器将使用具有二次方复杂性的算法，导致在解析该值时占用过量 CPU 资源。(CVE-2024-7592)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.1.1。因此如公告 NXSA-AOS-7.1.1 所述受到多个漏洞的影响。

  - zlib 1.2.8 中的 inftrees.c 可能允许依赖于上下文的攻击者通过利用不正确的指针算法造成不明影响。(CVE-2016-9840)

  - 路径等同：“file.Name”（内部点）导致远程代码执行和/或信息泄露和/或通过在 Apache Tomcat 中启用写入功能的默认 Servlet 添加到上传文件的恶意内容。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.2、10.1.0-M1 至 10.1.34、9.0.0.M1 至 9.0.98。以下版本在创建 CVE 时寿命已终止但已知会受到影响 8.5.0 至 8.5.100。其他较早的 EOL 版本也可能受到影响。如果以下所有项均为 true，则恶意用户能够查看安全敏感文件和/或将内容注入这些文件中：- 已为默认 servlet 启用写入功能（默认禁用）- 支持部分 PUT（默认启用）- 安全敏感上传内容的目标 URL 是公开上传内容的目标 URL 的子目录 - 攻击者知道正在上传的安全敏感文件的名称 - 也通过部分 PUT 上传安全敏感文件 如果以下所有项均为 true，则恶意用户能够执行远程代码：- 已为默认 servlet 启用写入功能（默认禁用）- 支持部分 PUT（默认启用）- 应用程序使用 Tomcat 基于文件的会话持久性及默认的存储位置 - 应用程序包含可用于反序列化攻击的库 建议用户升级到版本 11.0.3、10.1.35 或 9.0.99，这些版本修复了该问题。(CVE-2025-24813)

  - 在 libxml2 中发现释放后使用漏洞。在某些情况下，如果 XML schematron 具有 <sch:name path=.../> 方案元素，则解析 XPath 元素时会发生此问题。此缺陷允许恶意执行者构建恶意 XML 文档用作 libxml 的输入，导致使用 libxml 的程序崩溃，或可能出现其他不明行为。(CVE-2025-49794)

  - 在 libxml2 中发现一个漏洞。处理输入 XML 文件中的某些 sch:name 元素可触发内存损坏问题。此缺陷允许攻击者构建可造成 libxml 崩溃的恶意 XML 输入文件，由于内存中的敏感数据损坏，进而可导致拒绝服务或可能出现其他不明行为。(CVE-2025-49796)

  - 在 libxml2 的 xmlBuildQName 函数中发现一个缺陷，其中缓冲区大小计算中的整数溢出问题可导致基于堆栈的缓冲区溢出。在处理构建的输入时，此问题可导致内存损坏或拒绝服务。(CVE-2025-6021)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 6.10.1.7。因此，该主机受到 NXSA-AOS-6.10.1.7 公告中提及的多个漏洞影响。

  - 路径等同：“file.Name”（内部点）导致远程代码执行和/或信息泄露和/或通过在 Apache Tomcat 中启用写入功能的默认 Servlet 添加到上传文件的恶意内容。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.2、10.1.0-M1 至 10.1.34、9.0.0.M1 至 9.0.98。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：8.5.0 至 8.5.100。其他较早的 EOL 版本也可能受到影响。如果以下所有项均为 true，则恶意用户能够查看安全敏感文件和/或将内容注入这些文件中：- 已为默认 servlet 启用写入功能（默认禁用）- 支持部分 PUT（默认启用）- 安全敏感上传内容的目标 URL 是公开上传内容的目标 URL 的子目录 - 攻击者知道正在上传的安全敏感文件的名称 - 也通过部分 PUT 上传安全敏感文件 如果以下所有项均为 true，则恶意用户能够执行远程代码：- 已为默认 servlet 启用写入功能（默认禁用）- 支持部分 PUT（默认启用）- 应用程序使用 Tomcat 基于文件的会话持久性及默认的存储位置 - 应用程序包含可用于反序列化攻击的库 建议用户升级到版本 11.0.3、10.1.35 或 9.0.99，这些版本修复了该问题。(CVE-2025-24813)

  - 对于 libxml2 2.12.10 之前的版本和 2.13.6 之前的 2.13.x 版，xmlschemas.c 中的 xmlSchemaIDCFillNodeTables 和 xmlSchemaBubbleIDCNodeTables 存在释放后使用。要利用此问题，必须根据包含特定身份限制的 XML 方案对构建的 XML 文档进行验证，或者必须使用构建的 XML 方案。
    (CVE-2024-56171)

  - 对于 2.12.10 之前的 libxml2 和 2.13.6 之前的 2.13.x，valid.c 中的 xmlSnprintfElements 存在基于堆栈的缓冲区溢出。要利用此问题，必须对不受信任的文档或不受信任的 DTD 进行 DTD 验证。注意:
    此问题类似于 CVE-2017-9047。(CVE-2025-24928)

  - ipaddress 模块包含关于特定 IPv4 和 IPv6 地址是被指定为全局可访问还是私有的错误信息。这会影响 ipaddress.IPv4Address、ipaddress.IPv4Network、ipaddress.IPv6Address 和 ipaddress.IPv6Network 类别的 is_private 和 is_global 属性，不会根据 IANA 特殊用途地址注册表的最新信息返回其中的值。CPython 3.12.4 和 3.13.0a6 包含来自这些注册表的更新信息，因此实现预期行为。(CVE-2024-4032)

  - 在 69.1.1 及之前版本的 pypa/setuptools 中，package_index 模块存在漏洞，导致攻击者可以通过其下载函数执行远程代码。由于这些函数用于从用户提供或程序包索引服务器检索的 URL 下载程序包，因而容易受到代码注入影响。如果这些函数被泄露给用户控制的输入（例如程序包 URL），攻击者则可在系统上执行任意命令。此问题已在 70.0 版本中修复。(CVE-2024-6345)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AHV 版本低于 11.0。因此，如公告 NXSA-AHV-11.0 所述，受到多个漏洞的影响。

  - 对于 libxml2 2.12.10 之前的版本和 2.13.6 之前的 2.13.x 版，xmlschemas.c 中的 xmlSchemaIDCFillNodeTables 和 xmlSchemaBubbleIDCNodeTables 存在释放后使用。要利用此问题，必须根据包含特定身份限制的 XML 方案对构建的 XML 文档进行验证，或者必须使用构建的 XML 方案。
    (CVE-2024-56171)

  - 在修补程序 20220416 之前的 ncurses 6.3 中，terminfo 库中 tinfo/read_entry.c 的 convert_strings 中存在越界读取和分段冲突问题。(CVE-2022-29458)

  - libxslt 中的 xsltGetInheritedNsList  在 1.1.43 版本之前存在一个与排除结果前缀相关的释放后使用问题。(CVE-2024-55549)

  - libxslt 1.1.43 之前版本的 numbers.c 存在释放后使用问题，原因是在嵌套 XPath 评估中，XPath 上下文节点可被修改，但绝不会被还原。这与 xsltNumberFormatGetValue、xsltEvalXPathPredicate、xsltEvalXPathStringNs 和 xsltComputeSortResultInternal 有关。 (CVE-2025-24855)

  - 允许使用 filter=data 修改某些文件元数据（例如上次修改日期），或使用 filter=tar 修改提取目录外文件的文件的 file 权限 （chmod）。如果通过 tarfile 模块使用带有“data”或“tar”值的 filter= 参数，通过 TarFile.extractall() 或 TarFile.extract() 提取不受信任的 tar 存档，则会受到此漏洞的影响。有关更多信息，请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter 。这些漏洞仅影响 Python 3.12 或更高版本，较早版本不包含提取过滤器功能。请注意，对于 Python 3.14 或更高版本，filter= 的默认值从“no filtering”更改为“data”。因此，如果您依赖此全新默认行为，则您的使用也会受到影响。请注意，这些漏洞都不会明显影响 tar 存档的源发行版本的安装，因为源发行版本在构建进程期间便已允许执行任意代码。但是，在评估源发行版本时，请务必避免安装带有可疑链接的源发行版本。(CVE-2024-12718)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4354 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4354-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 10 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包pypy3 版本 7.3.5+dfsg-2+deb11u5 CVE ID CVE-2024-6232 CVE-2024-6923 CVE-2024-7592 CVE-2024-11168 CVE-2025-0938 CVE-2025-1795 CVE-2025-6069 CVE-2025-8291

    此上传修复了 PyPyPython 3 语言的替代实现随附的 Python 标准库中的一些安全问题。

    CVE-2024-6232

        tarfile 模块以前使用允许回溯的正则表达式来解析 tar 解析的标头值可被用于通过特制 tar 存档造成拒绝服务 (ReDoS)。由于 tar 标头的已知格式不需要回溯即可可靠解析因此新的解析方法仅需要单次通过字节流。

    CVE-2024-6923

        电子邮件模块在序列化电子邮件消息时未正确引用换行符这可被用于注入会影响电子邮件标头解释的换行符。攻击者可造成完全跳过某些电子邮件标头或者可能在其他标头内隐藏恶意标头。

    CVE-2024-7592

        http.cookies 在解析 Cookie 值中引用字符所对应的反斜线包含反斜线的 Cookie 时将使用复杂性为二次的算法从而导致解析该值时占用过多 CPU 资源。例如解析一个 20000 多个字节的 cookie 大约需要一秒 (ReDoS)。

    CVE-2024-11168 和 CVE-2025-0938

        urllib.parse.urlsplit 和 urlparse 函数未正确验证包含方括号的域名允许非 IPv6 或 IPvFuture 主机。

    CVE-2025-1795

        在电子邮件模块中在地址列表折叠期间当分隔逗号以折叠行结尾且该行要进行 Unicode 编码时则分隔符本身也会进行 Unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可导致某些邮件服务器错误解释地址标头。

    CVE-2025-6069

        html.parser.HTMLParser 类在处理某些特制的畸形输入时存在最坏情况的复杂性的二次方可能导致拒绝服务放大。

    CVE-2025-8291

        zipfile 模块不会检查 ZIP64 中央目录末端 (EOCD) 的有效性。
        定位器记录偏移值不会用于定位 ZIP64 EOCD 记录而是会假设 ZIP64 EOCD 记录是 ZIP 存档中的上一个记录。这可能被滥用于创建 zipfile 模块处理方式与其他 ZIP 实现不同的 ZIP 存档。修复会保留此行为，但会检查 ZIP64 EOCD 定位器记录中指定的偏移是否与预期值相符。

    对于 Debian 11 Bullseye这些问题已在 7.3.5+dfsg-2+deb11u5 版本中修复。

    我们建议您升级 pypy3 程序包。

    如需了解 pypy3 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/pypy3

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AHV 版本低于 10.0。因此，如公告 NXSA-AHV-10.0 所述，受到多个漏洞的影响。

  - 构建的 NTFS 图像会触发基于堆的缓冲区溢出漏洞，该漏洞是 NTFS-3G < 2021.8.22 的 ntfs_get_attribute_value 中未经审查的属性所致。(CVE-2021-39263)

  - 在低于 2.6.3 的 libexpat 中发现一个问题。xmlparse.c 中的 nextScaffoldPart 可能存在针对 32 位平台上 m_groupSize 的整数溢出（其中 UINT_MAX 等于 SIZE_MAX）。(CVE-2024-45492)

  - 在 SQLite3 v.3.27.1 及之前版本中发现缓冲区溢出漏洞，本地攻击者可以通过构建的脚本造成拒绝服务。(CVE-2020-24736)

  - Flatpak 是一种 Linux 应用程序沙盒和分发框架。在 1.14.0 和 1.15.10 之前版本中，使用持久目录的恶意或遭入侵的 Flatpak 应用程序可以访问和写入其原本没有访问权的文件，这是对应用程序完整性和机密性的攻击。
    当应用程序权限中使用了“persistent=subdir”（在命令行界面中表示为“--persist=subdir”）时，原本无权访问实际用户主目录的应用程序将看到一个空的主目录，其中带有可写子目录“subdir”。在后台，此目录实际是一个绑定挂载，数据以 `~/.var/app/$APPID/subdir` 形式存储在每个应用程序的目录中。这使得不知道每个应用程序目录的现有应用仍可在没有一般主目录访问权限的情况下按预期运作。不过，应用程序确实对存储此目录的应用程序目录“~/.var/app/$APPID”具有写入访问权。如果将“persistent`/`--persist”选项的源目录替换为符号链接，则下次启动应用程序时，绑定挂载将遵循该符号链接，并将其指向的任何内容挂载至沙盒中。使用提交 ceec2ffc 和 98f79773 中的补丁对 Flatpak 进行修补，可以提供针对此漏洞的部分保护。但是，这会造成争用条件，并行运行的恶意 app 的两个实例可能会利用此争用条件。如要解决争用条件，需要更新或修补 Flatpak 用来添加新的“--bind-fd” 选项的 bubblewrap 版本，方法是使用补丁来修补 Flatpak 以使用它。如果已在构建时使用“-Dsystem_bubblewrap=bwrap”(1.15.x) 或“--with-system-bubblewrap=bwrap”（1.14.x 或更早版本）或类似选项来配置 Flatpak，则需要修补的 bubblewrap 版本为单独分发的系统副本，通常为“/usr/bin/bwrap”。Linux 发行版本通常使用此配置。如果在构建时已使用“-Dsystem_bubblewrap=” (1.15.x) 或“--without-system-bubblewrap”（1.14.x 或更早版本）配置 Flatpak，则必须修补 Flatpak 中随附的 bubblewrap 版本。这通常安装为“/usr/libexec/flatpak-bwrap”。
    此配置是从源代码进行构建时的默认配置。对于 1.14.x 稳定分支，这些更改包含在 Flatpak 1.14.10 中。此版本中随附的 bubblewrap 版本已更新至 0.6.3。对于 1.15.x 开发分支，这些更改包含在 Flatpak 1.15.10 中。
    此版本中随附的 bubblewrap 版本是 Meson wrap 子项目，已更新至 0.10.0。1.12.x 和 1.10.x 分支不会有针对此漏洞的更新。长期支持的操作系统发行版本应将各变更向后移植到其 Flatpak 和 bubblewrap 版本中，如果稳定性策略允许，应更新为更高版本。变通方案是避免使用需要 `persistent` (`--persist`) 权限的应用程序。(CVE-2024-42472)

  - 远程攻击者可利用 DNS 协议的某些 DNSSEC 方面（在 RFC 4033、4034、4035、6840 和相关 RFC 中），通过一个或多个 DNSSEC 响应造成拒绝服务情形（CPU 消耗），也称为 KeyTrap 问题。其中一个问题是，当存在包含多条 DNSKEY 和 RRSIG 记录的区域时，协议规范意味着算法必须评估 DNSKEY 和 RRSIG 记录的所有组合。(CVE-2023-50387)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
210510	RHEL 8：python39:3.9 和 python39-devel:3.9 (RHSA-2024:5962)	Nessus	Red Hat Local Security Checks	2024/11/7	2025/3/6	high
210571	RHEL 8：python39:3.9 (RHSA-2024:8103)	Nessus	Red Hat Local Security Checks	2024/11/8	2024/11/8	medium
206491	RHEL 9：python3.11 (RHSA-2024:6179)	Nessus	Red Hat Local Security Checks	2024/9/3	2024/11/7	medium
207593	RHEL 9：python3.9 (RHSA-2024:6909)	Nessus	Red Hat Local Security Checks	2024/9/23	2024/11/7	high
207651	RHEL 8：python3.11 (RHSA-2024:6962)	Nessus	Red Hat Local Security Checks	2024/9/24	2025/3/28	high
207749	AlmaLinux 8python3.12 (ALSA-2024:6961)	Nessus	Alma Linux Local Security Checks	2024/9/25	2024/9/25	high
207770	Oracle Linux 8：python3.11 (ELSA-2024-6962)	Nessus	Oracle Linux Local Security Checks	2024/9/25	2025/9/11	high
213987	Debian dla-4010：python-django-doc - 安全更新	Nessus	Debian Local Security Checks	2025/1/11	2025/1/11	medium
207961	RHEL 9：python3.11 (RHSA-2024:7415)	Nessus	Red Hat Local Security Checks	2024/10/1	2024/10/3	high
216814	Amazon Linux 2：python3 (ALAS-2025-2754)	Nessus	Amazon Linux Local Security Checks	2025/2/26	2026/1/21	medium
255240	Nutanix AOS 多个漏洞 (NXSA-AOS-7.1.1)	Nessus	Misc.	2025/8/26	2026/4/19	high
242590	Nutanix AOS：多个漏洞 (NXSA-AOS-6.10.1.7)	Nessus	Misc.	2025/7/22	2025/9/1	critical
278723	Nutanix AHV：多个漏洞（NXSA-AHV-11.0）	Nessus	Misc.	2025/12/15	2026/8/13	high
272097	Debian dla-4354pypy3 - 安全更新	Nessus	Debian Local Security Checks	2025/10/31	2025/10/31	medium
310786	Nutanix AHV：多个漏洞（NXSA-AHV-10.0）	Nessus	Misc.	2026/4/29	2026/8/13	medium

检测

插件搜索

high

medium

medium

high

high

high

high

medium

high

medium

high

critical

high

medium

medium