Debian DLA-2950-1：python-scrapy - LTS 安全性更新

medium Nessus Plugin ID 158996

語系：

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 9 主機上安裝的多個套件受到 dla-2950 公告中提及的多個弱點影響。

- Scrapy 是適用 Python 的高階 Web 爬取與抓取架構。如果您使用 `HttpAuthMiddleware` (即 `http_user` 和 `http_pass` Spider 屬性) 進行 HTTP 驗證，則所有要求都會將您的憑證公開給要求目標。這包括由 Scrapy 元件產生的要求，例如當 `ROBOTSTXT_OBEY` 設定設為 `True` 時，Scrapy 傳送的 `robots.txt` 要求，或透過重新導向到達的要求。升級至 Scrapy 2.5.1 並使用新的 `http_auth_domain` spider 屬性來控制允許哪些網域接收已設定的 HTTP 驗證憑證。如果您使用的是 Scrapy 1.8 或更低版本，且無法升級至 Scrapy 2.5.1 ，則可以改為升級至 Scrapy 1.8.1 。如果無法升級，請在每個要求中設定 HTTP 驗證憑證，例如使用 `w3lib.http.basic_auth_header` 函式將您的憑證轉換為可以指派給要求之 `Authorization` 標頭的值，而非使用 `HttpAuthMiddleware` 全域定義憑證。(CVE-2021-41125)

- GitHub 存放庫 scrapy/scrapy 2.6.1 更早版本會將敏感資訊洩漏給未經授權的執行者。(CVE-2022-0577)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。