遠端 Debian 10 主機上安裝的多個套件受到 dla-3590 公告中提及的多個弱點影響。

  - ReportLab 3.5.26 之前版本允許遠端程式碼執行，這是因為 colors.py 中的 toColor(eval(arg)) 所致，含有「<span color=」且後面緊接著任意 Python 程式碼的特製 XML 文件即為一例。
    (CVE-2019-17626)

  - ReportLab 3.5.31 之前版本中的 paraparser 允許遠端程式碼執行，因為 paraparser.py 中的 start_unichar 會評估特製的 XML 文件中 unichar 元素中是否存在不受信任的使用者輸入，其中「<unichar code=」後面緊接著任意 Python 程式碼，這與 CVE-2019-17626 問題類似。(CVE-2019-19450)

  - 所有版本的 reportlab 套件都容易受到透過 img 標籤造成的伺服器端要求偽造 (SSRF) 影響。為了降低風險，請使用 trustedSchemes 和 trustedHosts (請參閱 Reportlab 文件 )。Karan Bamal 重現的步驟如下所示：1. 下載並安裝最新的 reportlab 套件 2. 前往示範 -> odyssey -> dodyssey 3. 在需要轉換為 pdf 的文字檔案 odyssey.txt 中插入 <img src=http://127.0.0.1:5000 valign=top/> 4. 建立 nc 接聽程式 nc -lp 5000 5. 執行 python3 dodyssey.py 6. nc 上會顯示提示，顯示我們已成功處理傳送伺服器端要求 7.
    dodyssey.py 會顯示錯誤，因為 url 上沒有 img 檔案，但我們可以執行 SSRF (CVE-2020-28463)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-3590-1：python-reportlab - LTS 安全性更新

critical Nessus Plugin ID 182381

版本 1.0