远程 Ubuntu 20.04 LTS 主机上安装的一个程序包受到 USN-6629-3 公告中提及的多个漏洞影响。

    USN-6629-1 修复了 UltraJSON 中的漏洞。此更新提供针对 Ubuntu 20.04 LTS 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的一个程序包受到 RHSA-2022: 8850 公告中提及的漏洞的影响。

  - python-ujson：对转义代理字符的不当解码可能导致字符串损坏、密钥混淆或值覆盖 (CVE-2022-31116)

  - python-ujson：字符串解码期间潜在的缓冲区双重释放 (CVE-2022-31117)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - UltraJSON 是一种快速 JSON 编码器和解码器，以纯 C 语言编写，并带有适用于 Python 3.7+ 的绑定。在低于 5.4.0 的版本中，为字符串解码重新分配缓冲区时会发生一个错误，此错误可导致缓冲区被释放两次。由于 UltraJSON 使用内部解码器的方式，此双重释放无法从 Python 触发。此问题已在版本 5.4.0 中解决，且所有用户均应升级到 UltraJSON 5.4.0。目前尚无针对此问题的解决方案。(CVE-2022-31117)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 22.04 LTS 主机上安装的程序包受到 USN-6629-1 公告中提及的多个漏洞的影响。

  - UltraJSON（也称为 ujson）5.1.0 及之前版本的 Buffer_AppendIndentUnchecked（从 encode 调用）中存在基于堆栈的缓冲区溢出漏洞。例如，可恶意利用的是使用大量缩进。(CVE-2021-45958)

  - UltraJSON 是一种快速 JSON 编码器和解码器，以纯 C 语言编写，并带有适用于 Python 3.7+ 的绑定。据发现，受影响的版本无法正确解码某些字符。如果 JSON 字符串不属于正确代理对，并且包含转义的代理字符，则该字符串会被错误解码。除损坏字符串外，此问题还会在字典中造成潜在的密钥混淆和值覆盖。所有从不受信任来源解析 JSON 的用户都容易受到影响。从版本 5.4.0 开始，UltraJSON 会采用与标准库的 `json` 模块相同的方式解码 lone 代理，并在解析的输出中保留此类代理。建议所有用户都进行升级。目前尚无针对此问题的解决方案。(CVE-2022-31116)

  - UltraJSON 是一种快速 JSON 编码器和解码器，以纯 C 语言编写，并带有适用于 Python 3.7+ 的绑定。在低于 5.4.0 的版本中，为字符串解码重新分配缓冲区时会发生一个错误，此错误可导致缓冲区被释放两次。由于 UltraJSON 使用内部解码器的方式，此双重释放无法从 Python 触发。此问题已在版本 5.4.0 中解决，且所有用户均应升级到 UltraJSON 5.4.0。目前尚无针对此问题的解决方案。(CVE-2022-31117)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机受到 GLSA-202403-03 中所述漏洞的影响（UltraJSON：多个漏洞）

  - UltraJSON 是一种快速 JSON 编码器和解码器，以纯 C 语言编写，并带有适用于 Python 3.7+ 的绑定。据发现，受影响的版本无法正确解码某些字符。如果 JSON 字符串不属于正确代理对，并且包含转义的代理字符，则该字符串会被错误解码。除损坏字符串外，此问题还会在字典中造成潜在的密钥混淆和值覆盖。所有从不受信任来源解析 JSON 的用户都容易受到影响。从版本 5.4.0 开始，UltraJSON 会采用与标准库的 `json` 模块相同的方式解码 lone 代理，并在解析的输出中保留此类代理。建议所有用户都进行升级。目前尚无针对此问题的解决方案。(CVE-2022-31116)

  - UltraJSON 是一种快速 JSON 编码器和解码器，以纯 C 语言编写，并带有适用于 Python 3.7+ 的绑定。在低于 5.4.0 的版本中，为字符串解码重新分配缓冲区时会发生一个错误，此错误可导致缓冲区被释放两次。由于 UltraJSON 使用内部解码器的方式，此双重释放无法从 Python 触发。此问题已在版本 5.4.0 中解决，且所有用户均应升级到 UltraJSON 5.4.0。目前尚无针对此问题的解决方案。(CVE-2022-31117)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2022:8864 公告中提及的多个漏洞影响。

  - python-ujson：对转义代理字符的不当解码可能导致字符串损坏、密钥混淆或值覆盖 (CVE-2022-31116)

  - python-ujson：字符串解码期间潜在的缓冲区双重释放 (CVE-2022-31117)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
190582	Ubuntu 20.04 LTS：UltraJSON 漏洞 (USN-6629-3)	Nessus	Ubuntu Local Security Checks	2024/2/15	2024/10/29	high
170362	RHEL 8：Red Hat OpenStack Platform 16.2.4 (python-ujson) (RHSA-2022: 8850)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	high
224673	Linux Distros 未修补的漏洞: CVE-2022-31117	Nessus	Misc.	2025/3/5	2025/3/5	medium
190410	Ubuntu 16.04 LTS / 18.04 LTS / 22.04 LTS：UltraJSON 漏洞 (USN-6629-1)	Nessus	Ubuntu Local Security Checks	2024/2/12	2024/8/28	high
191479	GLSA-202403-03: UltraJSON: 多个漏洞	Nessus	Gentoo Local Security Checks	2024/3/3	2024/3/3	high
170380	RHEL 8：Red Hat OpenStack Platform 16.1.9 (python-ujson) (RHSA-2022:8864)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	high

检测

插件搜索

high

high

medium

high

high

high