遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-4162 公告中提及的多個弱點影響。

  - python/cpython 套件 0 至 3.6.13 之前版本、3.7.0 至 3.7.10 之前版本、3.8.0 至 3.8.8 之前版本、3.9.0 至 3.9.2 之前版本容易受到 Web 快取毒害攻擊，攻擊者可使用一個稱為參數偽裝的向量透過 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 發動攻擊。當攻擊者可使用分號 (;) 分隔查詢參數時，可造成 Proxy (以預設組態執行) 和伺服器之間的要求解譯不同。這可導致將惡意要求快取為完全安全的要求，因為 Proxy 通常不會將分號視為分隔符號，因此不會將其包含在無索引鍵參數的快取金鑰中。(CVE-2021-23336)

  - 5.6.5 之前的 psutil (即 python-psutil) 可重複釋放。這是在將系統資料轉換為 Python 物件的 while 或 for 迴圈中未正確處理 refcount 所致。(CVE-2019-18874)

  - Babel 2.9.1 版之前的 Babel.Locale 允許攻擊者透過目錄遊走載入任意地區設定 .dat 檔案 (包含序列化的 Python 物件)，進而導致程式碼執行。(CVE-2021-42771)

  - 在 python-pip 處理 git 參照中 Unicode 分隔符號的方式中發現一個缺陷。遠端攻擊者可能利用此問題在存放庫上安裝不同的修訂版。此弱點對資料完整性的威脅最大。此問題已在 python-pip 版本 21.1 中修正。(CVE-2021-3572)

  - 這會影響 0.0.0 和 2.11.3 之前版本中的套件 jinja2。ReDoS 弱點主要是由於「_punctuation_re regex」運算子及其使用多個萬用字元所致。最後一個萬用字元最容易遭到惡意利用，因為它會搜尋結尾的標點符號。透過 Markdown 格式化使用者內容 (而非 urlize 篩選器)，或透過實作要求逾時和限制處理程序記憶體，可減輕此問題造成的影響。(CVE-2020-28493)

  - 在 python-lxml 的 clean 模組 4.6.3 之前版本中發現 XSS 弱點。停用 safe_attrs_only 和表單引數時，Cleaner 類別不會移除 formaction 屬性，這會允許 JS 繞過清理程式。遠端攻擊者可惡意利用此瑕疵，針對與未正確清理的 HTML 互動的使用者執行任意 JS 程式碼。此問題已在 lxml 4.6.3 中得到修補。
    (CVE-2021-28957)

  - 在 Python G263.9.5 之前的版本中，ipaddress 程式庫未正確處理 IP 位址字串八位元中的前置零字元。在某些情況下，攻擊者可利用此問題繞過以 IP 位址為基礎的存取控制。(CVE-2021-29921)

  - Python 3 的 pydoc 中有一個瑕疵。本機或鄰近攻擊者若發現或能夠誘騙其他本機或鄰近使用者啟動 pydoc 伺服器，則可以存取此伺服器，並藉此洩漏他們通常無法存取的屬於其他使用者的敏感資訊。此瑕疵對資料機密性的風險最大。此瑕疵影響 Python 3.8.9 之前版本、Python 3.9.3 之前版本以及 Python 3.10.0a7 之前版本。(CVE-2021-3426)

  在 1.26.5 之前的 urllib3 中發現一個問題。當在授權元件中提供含有許多 @ 字元的 URL 時，授權規則運算式會出現災難性回溯，如果將 URL 作為參數傳遞或透過 HTTP 重新導向進行重新導向，則會造成拒絕服務。
    (CVE-2021-33503)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 8：python38: 3.8 / 和 / python38-devel: 3.8 (ELSA-2021-4162)

critical Nessus Plugin ID 155969

版本 1.5