远程 Debian 11 主机上安装的多个程序包受到 dla-3980 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3980-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2024 年 12 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u2 CVE ID： CVE-2015-20107 CVE-2020-10735 CVE-2021-3426 CVE-2021-3733 CVE-2021-3737 CVE-2021-4189 CVE-2021-28861 CVE-2021-29921 CVE-2022-42919 CVE-2022-45061 CVE-2023-6597 CVE-2023-24329 CVE-2023-27043 CVE-2023-40217 CVE-2024-0397 CVE-2024-0450 CVE-2024-4032 CVE-2024-6232 CVE-2024-6923 CVE-2024-7592 CVE-2024-8088 CVE-2024-9287 CVE-2024-11168 Debian 缺陷：989195 1070135 1059298 1070133

    已修复 Python3 解释器中的多个漏洞。

    CVE-2015-20107

        mailcap 模块不会将转义字符添加到在系统 mailcap 文件中发现的命令中

    CVE-2020-10735

        防止使用极大 int 的 DoS

    CVE-2021-3426

        删除 pydoc getfile 功能，此功能可能遭到滥用，以读取磁盘上的任意文件

    CVE-2021-3733

        urllib 的 AbstractBasicAuthHandler 类中的正则表达式拒绝服务

    CVE-2021-3737

        HTTP 客户机代码中的无限循环

    CVE-2021-4189

        使 ftplib 不信任 PASV 响应

    CVE-2021-28861

        http.server 中的开放重定向漏洞

    CVE-2021-29921

        不再容许 IPv4 地址中存在前导零

    CVE-2022-42919

        不针对多处理使用 Linux 抽象套接字

    CVE-2022-45061

        IDNA 解码器中的 Quadratic 时间

    CVE-2023-6597

        tempfile.TemporaryDirectory 无法删除 dir

    CVE-2023-24329

        剥离 urlsplit 中的 C0 控制和空格字符

    CVE-2023-27043

        拒绝 email.parseaddr() 中的畸形地址

    CVE-2023-40217

        TLS 握手的 ssl.SSLSocket 绕过

    CVE-2024-0397

        ssl.SSLContext 中的争用条件

    CVE-2024-0450

        Quoted-overlap zipbomb DoS

    CVE-2024-4032

        有关 ipaddress 模块中私有地址的错误信息

    CVE-2024-6232

        解析 tarfile 标头时发生 ReDoS

    CVE-2024-6923

        对电子邮件模块标头中的换行符进行编码

    CVE-2024-7592

        解析包含反斜线的 Cookie 的二次方复杂性

    CVE-2024-8088

        在对 zip 存档条目名称进行迭代处理时发生无限循环

    CVE-2024-9287

        venv 激活脚本未引用路径

    CVE-2024-11168

        urllib 函数未正确验证括号里的主机

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u2 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2024-790 公告中提及的多个漏洞影响。

    Python 中 tarfile 模块的 (1) extract 和 (2) extractall 函数中存在目录遍历漏洞，用户协助的远程攻击者可利用此漏洞，通过 TAR 存档中文件名中的 ..（点点）序列覆写任意文件，而此问题与 CVE-2001-1267 相关。(CVE-2007-4559)

    Python 3.11.3 及其之前所有版本的电子邮件模块不会正确解析包含特殊字符的电子邮件地址。RFC2822 标头的错误部分会被识别为 addr-spec 的值。在某些应用程序中，攻击者可以绕过保护机制，而在保护机制中，只有验证收到发送至特定域的电子邮件后才会授予应用程序访问权限（例如，只有 @company.example.com 地址可用于注册）。最新版 Python 的 email/_parseaddr.py 中存在此问题。(CVE-2023-27043)

    ipaddress 模块包含关于特定 IPv4 和 IPv6 地址是被指定为全局可访问还是私有的错误信息。这会影响 ipaddress.IPv4Address、ipaddress.IPv4Network、ipaddress.IPv6Address 和 ipaddress.IPv6Network 类别的 is_private 和 is_global 属性，不会根据 IANA 特殊用途地址注册表的最新信息返回其中的值。

    CPython 3.12.4 和 3.13.0a6 包含来自这些注册表的更新信息，因此实现预期行为。(CVE-2024-4032)

    存在影响 CPython 的中危漏洞。





    在 tarfile.TarFile 标头解析期间允许过多回溯的正则表达式容易受到通过特制 tar 存档实现的 ReDoS 攻击。(CVE-2024-6232)

    存在影响 CPython 的中危漏洞。

    序列化电子邮件消息时，电子邮件模块未正确引用电子邮件标头的换行符，从而允许在序列化电子邮件时注入标头。(CVE-2024-6923)

    存在影响 CPython 的低危漏洞，尤其是“http.cookies”标准库模块。

    针对 cookie 值中引用字符，解析包含反斜线的 cookie 时，解析器将使用具有二次方复杂性的算法，导致在解析该值时占用过量 CPU 资源。(CVE-2024-7592)

    存在对 CPython zipfile 模块造成影响的漏洞。

    迭代 zip 存档中的条目名称时（例如，zipfile.Path 的方法，如 namelist()、iterdir()、extractall() 等），该过程可能会因恶意制作的 zip 存档而陷入无限循环。仅读取元数据或提取 zip 存档的内容时会出现此缺陷。不处理用户控制的 zip 存档的程序不受影响。
    (CVE-2024-8088)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
211991	Debian dla-3980：idle-python3.9 - 安全更新	Nessus	Debian Local Security Checks	2024/12/2	2024/12/2	critical
213054	Amazon Linux 2023: python3、python3-devel、python3-idle (ALAS2023-2024-790)	Nessus	Amazon Linux Local Security Checks	2024/12/16	2025/3/10	critical

检测

插件搜索

critical

critical