远程 Ubuntu 20.04 LTS / 22.04 LTS / 23.04 / 23.10 主机上安装的程序包受到 USN-6575-1 公告中提及的多个漏洞的影响。

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。从版本 0.9.4 开始，当主机标头与配置的主机不匹配时，“twisted.web.vhost.NameVirtualHost”将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。
    在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。此问题已在版本 22.10.0rc1 中修复。没有已知的变通方案。(CVE-2022-39348)

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。在 23.10.0rc1 版本之前，当在一个 TCP 数据包中发送多个 HTTP 请求时，twisted.web 将异步处理请求，而不保证响应顺序。如果其中一个端点由攻击者控制，则当受害者使用 HTTP 管道发起两个请求时，攻击者可以故意延迟响应以操纵第二个请求的响应。23.10.0rc1 版本包含针对此问题的补丁。(CVE-2023-46137)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python-twisted-web 版本低于 12.1.0-8。因此，该应用程序受到 ALAS2-2023-2008 公告中提及的漏洞的影响。

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。从版本 0.9.4 开始，当主机标头与配置的主机不匹配时，“twisted.web.vhost.NameVirtualHost”将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。
    在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。此问题已在版本 22.10.0rc1 中修复。没有已知的变通方案。(CVE-2022-39348)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的多个程序包受到 dla-3212 公告中提及的一个漏洞影响。

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。从版本 0.9.4 开始，当主机标头与配置的主机不匹配时，“twisted.web.vhost.NameVirtualHost”将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。
    在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。此问题已在版本 22.10.0rc1 中修复。没有已知的变通方案。(CVE-2022-39348)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程主机受到 GLSA-202301-02 中所述漏洞的影响（Twisted：多个漏洞）

  - twisted 是用 Python 编写的事件驱动型网络引擎。在受影响的版本中，twisted 会在跟随跨源重定向时暴露 Cookie 和授权标头。`twited.web.RedirectAgent` 和 `twisted.web 中存在此问题。BrowserLikeRedirectAgent` 函数。建议所有用户都进行升级。没有已知的变通方案。(CVE-2022-21712)

  Twisted 是基于事件的框架，适用于支持 Python 3.6+ 的 Internet 应用程序。在 22.2.0 之前版本中，Twisted SSH 客户端和服务器实现能够接受无限数量的对等机 SSH 版本标识符数据。这最终将导致缓冲区占用所有可用内存。附件和 `nc -rv localhost 22 < /dev/zero` 一样简单。版本 22.2.0 中有一个补丁可用。目前尚无已知的变通方案。(CVE-2022-21716)

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。从版本 0.9.4 开始，当主机标头与配置的主机不匹配时，“twisted.web.vhost.NameVirtualHost”将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。
    在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。此问题已在版本 22.10.0rc1 中修复。没有已知的变通方案。(CVE-2022-39348)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该应用程序受到 ALAS2023-2023-130 公告中提及的漏洞的影响。

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。从版本 0.9.4 开始，当主机标头与配置的主机不匹配时，“twisted.web.vhost.NameVirtualHost”将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。
    在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。此问题已在版本 22.10.0rc1 中修复。没有已知的变通方案。(CVE-2022-39348)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到 ALAS-2023-1717 公告中提及的多个漏洞影响。

  Twisted 是基于事件的框架，适用于支持 Python 3.6+ 的 Internet 应用程序。在版本 22.4.0rc1 之前，位于“twisted.web.http”模块中的 Twisted Web HTTP 1.1 服务器能够解析多个 HTTP 请求构造，所用模式比 RFC 7230 所批的模式更宽松。如果请求通过多个 HTTP 解析器，则此不一致的解析可导致不同步，从而可能导致出现 HTTP 走私请求。
    或会受到影响的用户使用 Twisted Web 的 HTTP 1.1 服务器和/或代理，并通过不同的 HTTP 服务器和/或代理传递请求。Twisted Web 客户端不受影响。HTTP 2.0 服务器使用不同的解析器，因此不受影响。此问题已在 Twisted 22.4.0rc1 中得到解决。有两种变通方案：使用升级等方法确保解决上游代理中的全部漏洞；或通过其他方式过滤畸形请求，例如配置上游代理。
    (CVE-2022-24801)

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。从版本 0.9.4 开始，当主机标头与配置的主机不匹配时，“twisted.web.vhost.NameVirtualHost”将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。
    在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。此问题已在版本 22.10.0rc1 中修复。没有已知的变通方案。(CVE-2022-39348)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

此 Solaris 系统缺少解决关键安全更新的必要修补程序：

  - Oracle Systems 的 Oracle Solaris 产品中存在漏洞（组件：设备驱动程序接口）。支持的版本中受影响的是 11。可轻松利用的漏洞允许低权限攻击者登录 Oracle Solaris 执行的基础结构，从而破坏 Oracle Solaris。成功利用此漏洞进行攻击可导致接管 Oracle Solaris。注意：CVE-2023-22023 等同于 CVE-2023-31284。CVSS 3.1 基本分数 7.8 （机密性、完整性和可用性影响）。
    CVSS 向量：
    (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)。
    (CVE-2023-22023)

  - Oracle PeopleSoft 的 PeopleSoft Enterprise PeopleTools 产品中的漏洞（组件：安全性 (OpenSSL))。支持的版本中受影响的是 8.58、8.59 和  8.60。攻击此漏洞的难度较小，通过 TLS 访问网络的未经身份验证的攻击者可利用此漏洞入侵 PeopleSoft Enterprise PeopleTools。
    如果攻击成功，攻击者可在未经授权的情况下读取部分 PeopleSoft Enterprise PeopleTools 可访问数据。CVSS 3.1 基本分数 5.3（机密性影响）。CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)。
    (CVE-2022-2097)

  - Oracle MySQL 的 MySQL Server 产品中存在漏洞（组件：Server: 连接处理)。
    支持的版本中受影响的是 5.7.39 和较早版本以及 8.0.30 和较早版本。利用此漏洞的难度较低，通过多种协议进行网络访问的高权限攻击者可借此破坏 MySQL Server。若成功攻击此漏洞，可在未经授权的情况下造成 MySQL Server 挂起或频繁出现崩溃（完整 DOS）。CVSS 3.1 基本分数 4.9（可用性影响）。
    CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)。
    (CVE-2022-21617)

  - Oracle MySQL 的 MySQL Server 产品中存在漏洞（组件：Server: Optimizer）。支持的版本中受影响的是 5.7.39 和较早版本以及 8.0.30 和较早版本。利用此漏洞的难度较低，通过多种协议进行网络访问的高权限攻击者可借此破坏 MySQL Server。若成功攻击此漏洞，可在未经授权的情况下造成 MySQL Server 挂起或频繁出现崩溃（完整 DOS）。CVSS 3.1 基本分数 4.9（可用性影响）。CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)。
    (CVE-2022-21608)

  - Oracle MySQL 的 MySQL Server 产品中存在漏洞（组件：Server: Security: Encryption）。
    支持的版本中受影响的是 5.7.39 和较早版本以及 8.0.29 和较早版本。可轻松利用的漏洞允许低权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致对 MySQL Server 可访问数据子集进行未经授权的读取访问。CVSS 3.1 基本分数 4.3（机密性影响）。CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)。
    (CVE-2022-21592)

  - Oracle MySQL 的 MySQL Server 产品中存在漏洞（组件：Server: Security: Privileges）。
    支持的版本中受影响的是 5.7.39 和较早版本以及 8.0.16 和较早版本。可轻松利用的漏洞允许低权限攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。成功攻击此漏洞可导致对 MySQL Server 可访问数据子集进行未经授权的读取访问。CVSS 3.1 基本分数 4.3（机密性影响）。CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)。
    (CVE-2022-21589)

  - Oracle MySQL 的 MySQL Server 产品中存在漏洞（组件：Server: Packaging (cURL)）。支持的版本中受影响的是 5.7.41 和较早版本以及 8.0.32 和较早版本。可轻松利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 MySQL Server。
    成功攻击此漏洞可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 MySQL Server 数据。CVSS 3.1 基本分数 7.5（机密性影响）。CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)。
    (CVE-2022-43551)

  - Oracle Communications 的 Oracle Communications Network Analytics Data Director 产品中存在漏洞（组件：安装/升级 (Kerberos)）。支持的版本中受影响的是 23.1.0。攻击此漏洞的难度较低，通过 HTTP 访问网络的低权限攻击者可利用此漏洞入侵 Oracle Communications Network Analytics Data Director。
    如果攻击成功，攻击者可接管 Oracle Communications Network Analytics Data Director。CVSS 3.1 基本分数 8.8 （机密性、完整性和可用性影响）。CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)。
    (CVE-2022-42898)

  - Oracle Fusion Middleware 的 Oracle Outside In Technology 产品中存在漏洞（组件：第三方 (SQLite)）。支持的版本中受影响的是 8.5.6。攻击此漏洞的难度较小，登录 Oracle Outside In Technology 执行所在基础架构的低权限攻击者可以利用该漏洞入侵 Oracle Outside In Technology。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或 Oracle Outside In Technology 的所有可访问数据，并且未经授权即可访问关键数据或完整访问 Oracle Outside In Technology 的所有可访问数据，同时未经授权造成 Oracle Outside In Technology 局部拒绝服务（部分 DOS）。CVSS 3.1 基本分数 7.3 （机密性、完整性和可用性影响）。
    CVSS 向量：
    (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L)。
    (CVE-2022-46908)

  - Oracle Communications 的 Oracle Communications Diameter Signaling Router 产品中存在的漏洞（组件：平台（微码控制器））。支持的版本中受影响的是 8.6.0.0。攻击此漏洞的难度较小，登录 Oracle Communications Diameter Signaling Router 执行所在基础架构的低权限攻击者可利用该漏洞入侵 Oracle Communications Diameter Signaling Router。若攻击成功，攻击者可在未经授权的情况下访问关键数据，或完整访问所有的 Oracle Communications Diameter Signaling Router 可访问数据。CVSS 3.1 基本分数 5.5（机密性影响）。CVSS 向量：
    (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)。
    (CVE-2022-21123)

  - Oracle PeopleSoft 的 PeopleSoft Enterprise PeopleTools 产品中的漏洞（组件：移植（加密)）。支持的版本中受影响的是 8.59 和 8.60。攻击此漏洞的难度较小，通过 HTTPS 访问网络的未经身份验证的攻击者可利用此漏洞入侵 PeopleSoft Enterprise PeopleTools。
    若攻击成功，攻击者可在未经授权的情况下更新、插入或删除部分 PeopleSoft Enterprise PeopleTools 可访问数据，并且可在未经授权的情况下造成 PeopleSoft Enterprise PeopleTools 部分拒绝服务（部分 DOS）。CVSS 3.1 基本分数 6.5（完整性和可用性影响）。CVSS 向量：
    (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L)。
    (CVE-2023-23931)

  - Oracle PeopleSoft 的 PeopleSoft Enterprise PeopleTools 产品中的漏洞（组件：移植 (Python setuptools)）。支持的版本中受影响的是 8.59 和 8.60。攻击此漏洞的难度较大，通过 HTTP 访问网络的未经身份验证的攻击者可利用此漏洞入侵 PeopleSoft Enterprise PeopleTools。若攻击成功，攻击者可在未经授权的情况下造成 PeopleSoft Enterprise PeopleTools 挂起或频繁出现重复性崩溃（完全 DOS）。
    CVSS 3.1 基本分数 5.9（可用性影响）。CVSS 向量：(CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H)。
    (CVE-2022-40897)

远程 Debian 11 主机上安装的多个程序包受到 dla-3970 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3970-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sylvain Beucler 2024 年 11 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：twisted 版本：20.3.0-7+deb11u2 CVE ID：CVE-2022-39348 CVE-2023-46137 CVE-2024-41671 CVE-2024-41810 Debian 缺陷：1023359 1054913 1077679 1077680

    在针对 Internet 应用程序基于事件的框架 Twisted 中发现多个安全问题，可能导致错误排序 HTTP 请求或跨站脚本。

    CVE-2022-39348

        当主机标头与配置的主机不匹配时，`twisted.web.vhost.NameVirtualHost` 将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。

    CVE-2023-46137

        当在一个 TCP 数据包中发送多个 HTTP 请求时，twisted.web 将异步处理请求，而不保证响应顺序。如果其中一个端点由攻击者控制，则当受害者使用 HTTP 管道发起两个请求时，攻击者可以故意延迟响应以操纵第二个请求的响应。

    CVE-2024-41671

        twisted.web 提供的 HTTP 1.0 和 1.1 服务器可乱序处理管道 HTTP 请求，这可能导致信息泄露。

    CVE-2024-41810

        “twisted.web.util.redirectTo”函数包含一个 HTML 注入漏洞。如果应用程序代码允许攻击者控制重定向 URL，此漏洞可能会在重定向响应 HTML 正文中造成反射型跨站脚本 (XSS)。

    对于 Debian 11 bullseye，已在 20.3.0-7+deb11u2 版本中修复这些问题。

    我们建议您升级 twisted 程序包。

    如需了解 twisted 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/twisted

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
187918	Ubuntu 20.04 LTS / 22.04 LTS / 23.04 / 23.10：Twisted 漏洞 (USN-6575-1)	Nessus	Ubuntu Local Security Checks	2024/1/10	2024/8/28	medium
173918	Amazon Linux 2：python-twisted-web (ALAS-2023-2008)	Nessus	Amazon Linux Local Security Checks	2023/4/5	2024/12/11	medium
168233	Debian DLA-3212-1：twisted - LTS 安全更新	Nessus	Debian Local Security Checks	2022/11/28	2025/1/22	medium
169834	GLSA-202301-02 : Twisted：多个漏洞	Nessus	Gentoo Local Security Checks	2023/1/11	2023/9/8	high
173153	Amazon Linux 2023：python3-twisted、python3-twisted+tls (ALAS2023-2023-130)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2024/12/11	medium
173953	Amazon Linux AMI：python-twisted-web (ALAS-2023-1717)	Nessus	Amazon Linux Local Security Checks	2023/4/6	2024/12/11	high
178627	Oracle Solaris 关键修补程序更新：jul2023_SRU11_4_57_144_3	Nessus	Solaris Local Security Checks	2023/7/20	2023/11/16	critical
211959	Debian dla-3970：python3-twisted - 安全更新	Nessus	Debian Local Security Checks	2024/11/28	2024/11/28	medium

检测

插件搜索

medium

medium

medium

high

medium

high

critical

medium