远程 Ubuntu 18.04 ESM 主机上安装的多个程序包受到 USN-6414-2 公告中提及的多个漏洞影响。

    USN-6414-1 和 USN-6378-1 分别修复了 Django 中的 CVE-2023-43665 和 CVE-2023-41164。此更新提供针对 Ubuntu 18.04 LTS 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Django 3.2 之前版本 3.2.22、 之前的 4.1 Django 4.1.12版本和 4.24.2.6版本之前的 Django中django.utils.text.Truncator chars() 和 words() 方法与 html=True 一起使用时受到通过某些包含可能畸形 HTML 文本的极长输入的潜在 DoS拒绝服务攻击。chars() 和 words() 方法用于实现 truncatechars_html 和 truncatewords_html 模板过滤器因此也容易受到攻击。注意：存在此问题的原因是对 CVE-2019-14232 的修复不完整。(CVE-2023-43665)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2024:1878 公告中提及的多个漏洞影响。

    Red Hat Update Infrastructure (RHUI) 提供高度可扩展、高度冗余的框架，以便您管理存储库和内容。它还能使云提供商向 Red Hat Enterprise Linux (RHEL) 实例提供内容和更新。

    安全修复：

    * python-django：EmailValidator/URLValidator 中潜在的正则表达式拒绝服务漏洞 (CVE-2023-36053)

    * python-aiohttp：通过 llhttp HTTP 请求解析器触发的 HTTP 请求走私漏洞 (CVE-2023-37276)

    * python-django：``django.utils.encoding.uri_to_iri()`` 中潜在的拒绝服务漏洞 (CVE-2023-41164)

    * python-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)

    * python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)

    * aiohttp：HTTP 请求修改 (CVE-2023-49081)

    * python-cryptography：加载 PKCS7 证书时发生空取消引用 (CVE-2023-49083)

    * jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时的 HTML 属性注入 (CVE-2024-22195)

    * aiohttp：follow_symlinks 目录遍历漏洞 (CVE-2024-23334)

    * python-ecdsa：容易受到 Minerva 攻击 (CVE-2024-23342)

    * python-aiohttp：http 请求走私 (CVE-2024-23829)

    * Django：“intcomma”筛选器遭到拒绝服务攻击 (CVE-2024-24680)

    * python-django：django.utils.text.Truncator.words() 可能会发生正则表达式拒绝服务 (CVE-2024-27351)

    * aiohttp：如果用户控制使用 aiohttp 客户端的 HTTP 方法，则发生 CRLF 注入 (CVE-2023-49082)

    此 RHUI 更新修复以下错误：

    * 由于使用 distutils，RHEL 8.10 Beta 上的 rhui-installer 失败。此问题已通过更新到不使用 distutils 的更新版本的 ansible-collection-community-crypto 得以解决。

    此 RHUI 更新引入了以下增强：

    * 当首次运行或随时重新运行 RHUI 安装程序或时，本机 Ansible 模块现在用于更新 RHUA 服务器上的程序包。在 rhui-installer 命令行上使用 --ignore-newer-rhel-packages 标记可防止进行此更新。

    * PulpCore 已更新到版本 3.39。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2023:5758 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：
    * ansible-core：恶意角色存档可能导致 ansible-galaxy 覆盖任意文件 (CVE-2023-5115)
    * automation-controller：Django：django.utils.encoding.uri_to_iri() 中潜在的拒绝服务漏洞 (CVE-2023-41164)
    * python3-django/python39-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    更多变更：
    * ansible-core 已更新到 2.15.5
    * automation-controller 已更新到 4.4.6
    * python3-django/python39-django 已更新到 3.2.22
    * 自动化控制器：向控制器 UI 添加了新的订阅使用情况页面，以查看许可证的历史使用情况 (AAP-16983)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2024:1536 公告中提及的多个漏洞影响。

  - Ansible Automation Hub：不安全的 galaxy-importer tarfile 提取 (CVE-2023-5189)

  - python-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)

  - python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)

  - aiohttp：HTTP 请求修改 (CVE-2023-49081)

  - jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时的 HTML 属性注入 (CVE-2024-22195)

  - aiohttp：follow_symlinks 目录遍历漏洞 (CVE-2024-23334)

  - python-aiohttp：http 请求走私 (CVE-2024-23829)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2023:6158 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * automation-controller：Django：django.utils.text.Truncator 中可能存在拒绝服务漏洞 (CVE-2023-43665)

    * python3-urllib3/python39-urllib3：跨源重定向期间未剥离 Cookie 请求标头 (CVE-2023-43804)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    针对自动化控制器的更新和修复：
    * automation-controller 已更新到 4.4.7
    * 清理了 SOS 报告密码 (AAP-17544)
    * 使用 infra.controller_configuration 集合（该集合使用 ansible.controller 集合）更新其 Ansible Automation Platform 环境的客户不再会收到 HTTP 499 响应 (AAP-17422)

    更多变更：
    * python3-urllib3/python39-urllib3 已更新到 1.26.18

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4210 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4210-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 6 月 09 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包python-django 版本 2:2.2.28-1~deb11u7 CVE ID CVE-2025-48432 CVE-2025-32873 CVE-2023-41164 CVE-2023-43665 CVE-2024-24680 CVE-2024-27351 Debian 缺陷1107282 1104872 1051226

    在基于 Python 的流行 web 开发框架 Django 中发现了多个漏洞

     * CVE-2025-48432通过非转义请求路径的潜在日志注入。

       Django 的内部 HTTP 响应日志记录直接使用 request.path允许将控制字符例如换行符或 ANSI 转义序列以非转义方式写入日志中。这可造成日志注入或伪造从而让攻击者操纵日志外观或结构尤其是在由外部系统处理或在终端中查看的日志中。
       解决 #1107282

     * CVE-2025-32873: strip_tags() 中可能存在的拒绝服务

       django.utils.html.strip_tags() 评估某些包含大量不完整 HTML 标签序列的输入时速度缓慢。此函数用于实施 striptags 模板过滤器因此也容易受到攻击。 strip_tags() 如果遇到异常大量的未关闭开始标签现在会引发 SuspiciousOperation 异常。
       解决 #1104872

     * CVE-2023-41164django.utils.encoding.uri_to_iri() 中的潜在拒绝服务漏洞。此方法容易受到通过某些具有大量 Unicode 字符的输入进行的潜在拒绝服务攻击。解决 #1051226

     * CVE-2023-43665解决 django.utils.text.Truncator 中可能发生的拒绝服务。

       在 CVE-2019-14232的修复后修订和改进了实现 django.utils.text.Truncator?s chars() 和 words() 方法html=True 时使用的正则表达式。但是这些正则表达式仍然呈现出线性回溯的复杂性因此当给定很长、可能畸形的 HTML 输入时评估仍然会很慢从而导致潜在的拒绝服务漏洞。chars() 和 words() 方法用于实现 truncatechars_html 和 truncatewords_html 模板过滤器因此也容易受到攻击。Trancator 在 HTML 模式下操作时处理的输入已限制为前五百万个字符以避免潜在的性能和内存问题。

     * CVE-2024-24680intcomma 模板过滤器中的潜在拒绝服务。当使用超长字符串时intcomma 模板过滤器会受到潜在的拒绝服务攻击。

     * CVE-2024-27351修复 django.utils.text.Truncator.words 中潜在的正则表达式拒绝服务 (ReDoS) 攻击。方法html=True 和 truncatewords_html 模板过滤器容易通过适当构建的字符串受到正则表达式拒绝服务攻击。部分是 CVE-2019-14232 和 CVE-2023-43665的后续版本。

    对于 Debian 11 Bullseye这些问题已在版本 2:2.2.28-1~deb11u7 中修复。

    我们建议您升级 python-django 程序包。

    如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-django

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS 主机上安装的一个程序包受到 USN-6414-1 公告中提及的一个漏洞影响。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:2010 公告中提及的多个漏洞的影响。

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    安全修复：
    * python-pygments：pygments 中的 ReDoS (CVE-2022-40896)
    * python-pycryptodomex：PyCryptodome 和 pycryptodomex 中 OAEP 解密的边信道泄漏 (CVE-2023-52323)
    * satellite：satellite 中的算术溢出 (CVE-2023-4320)
    * automation-hub: Ansible Automation Hub：不安全的 galaxy-importer tarfile 提取 (CVE-2023-5189)
    * jetty：向 CgiServlet 中的用户输入添加不正确的引号 (CVE-2023-36479)
    * python-aiohttp：通过 llhttp HTTP 请求解析器触发的 HTTP 请求走私漏洞 (CVE-2023-37276)
    * rubygem-activesupport：本地加密文件的文件泄露 (CVE-2023-38037)
    * jetty：不当验证 HTTP/1 content-length (CVE-2023-40167)
    * python-django：`django.utils.encoding.uri_to_iri()` 中潜在的拒绝服务漏洞 (CVE-2023-41164)
    * python-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)
    * python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)
    * python-aiohttp：HTTP 请求修改 (CVE-2023-49081)
    * python-aiohttp：如果用户控制使用 aiohttp 客户端的 HTTP 方法，则发生 CRLF 注入 (CVE-2023-49082)
    * rubygem-puma：解析分块传输编码正文时，HTTP 请求走私 (CVE-2024-21647)
    * rubygem-audited：争用条件可导致审核日志被错误地归因于错误的用户 (CVE-2024-22047)
    * python-jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时发生 HTML 属性注入 (CVE-2024-22195)
    * python-aiohttp：Follow_symlinks 目录遍历漏洞 (CVE-2024-23334)
    * python-aiohttp：HTTP 请求走私 (CVE-2024-23829)

    其他变更：
    此更新还修复了多个缺陷并添加了多项增强功能。

    “参考”部分链接的版本说明文档中提供这些更改的文档。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
182577	Ubuntu 18.04 ESM：Django 漏洞 (USN-6414-2)	Nessus	Ubuntu Local Security Checks	2023/10/5	2024/10/29	high
226971	Linux Distros 未修补的漏洞：CVE-2023-43665	Nessus	Misc.	2025/3/5	2025/8/30	high
193467	RHEL 8：RHUI 4.8 版本 - 安全更新、缺陷修复和增强（中危）(RHSA-2024:1878)	Nessus	Red Hat Local Security Checks	2024/4/18	2024/11/7	critical
194369	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2023:5758)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	medium
194355	RHEL 8：Satellite 6.14.3 异步安全更新（重要）(RHSA-2024:1536)	Nessus	Red Hat Local Security Checks	2024/4/28	2025/3/6	high
194399	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2023:6158)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	critical
238025	Debian dla-4210python-django-doc - 安全更新	Nessus	Debian Local Security Checks	2025/6/9	2025/6/9	high
182529	Ubuntu 20.04 LTS/22.04 LTS/23.04：Django 漏洞 (USN-6414-1)	Nessus	Ubuntu Local Security Checks	2023/10/4	2024/8/27	high
199805	RHEL 8：Satellite 6.15.0（重要）(RHSA-2024:2010)	Nessus	Red Hat Local Security Checks	2024/6/3	2025/3/6	high

检测

插件搜索

high

high

critical

medium

high

critical

high

high

high