遠端 Debian 10 主機上安裝的多個套件受到 dla-3212 公告中提及的一個弱點影響。

  - Twisted 是適用於網際網路應用程式的事件型框架。從 0.9.4 版開始，當主機標頭與已設定的主機不符時，「twisted.web.vhost.NameVirtualHost」將傳回可將未逸出的 Host 標頭轉譯為 404 回應的「NoResource」資源 ，這可以引致 HTML 和指令碼插入。
    實際上，利用此弱點應該會非常困難，這是因為若能夠修改正常 HTTP 要求的 Host 標頭，則表示該要求已處於特殊權限位置。此問題已在 22.10.0rc1 版中修正。目前尚無已知的因應措施。(CVE-2022-39348)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Debian DLA-3212-1：twisted - LTS 安全性更新

medium Nessus Plugin ID 168233

未找到家屬