遠端 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/23.10 主機上安裝的套件受到 USN-6673-1 公告中所提及的多個弱點影響。

  - 在 python-cryptography 套件中發現一個瑕疵。此問題可允許遠端攻擊者在使用 RSA 金鑰交換的 TLS 伺服器中解密擷取的訊息，進而可能導致洩漏機密或敏感資料。(CVE-2023-50782)

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    從 38.0.0 和 42.0.4 之前的版本開始，若使用公開金鑰不符合所提供之私密金鑰的憑證呼叫「pkcs12.serialize_key_and_certificates」，又使用設定了「hmac_hash」的「encryption_algorithm」(透過「PrivateFormat.PKCS12.encryption_builder().hmac_hash(...)」)，則會發生 NULL 指標解除參照，進而損毀 Python 處理程序。此問題已在 42.0.4 版本中解決，這是第一個正確引發「ValueError」的版本。 (CVE-2024-26130)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 23.10：python-cryptography 弱點 (USN-6673-1)

high Nessus Plugin ID 191499

版本 1.0