遠端 Debian 11 主機上安裝的多個套件受到 dla-3876 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3876-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2024 年 9 月 5 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：setuptools 版本：52.0.0-4+deb11u1 CVE ID：CVE-2022-40897 CVE-2024-6345 Debian 錯誤：

    簡介

    CVE-2022-40897

        setuptools 65.5.1 之前版本允許遠端攻擊者透過特製套件或自訂 PackageIndex 頁面中的 HTML 造成系統拒絕服務。package_index.py 中存在規則運算式拒絕服務 (ReDoS) 弱點。

    CVE-2024-6345

        package_index 模組中有一個弱點，允許攻擊者透過下載函式執行遠端程式碼。這些函式用於從使用者提供的 URL 或從套件索引伺服器擷取的 URL 下載套件，容易受到程式碼插入弱點影響。如果這些函式暴露給使用者控制的輸入，例如套件 URL，則可用於在系統上執行任意命令。

    針對 Debian 11 Bullseye，這些問題已在 52.0.0-4+deb11u1 版本中修正。

    建議您升級 setuptools 套件。

    如需有關 setuptools 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/setuptools

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-3876：python-setuptools-doc - 安全性更新

medium Nessus Plugin ID 206641

版本 1.1