Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - python-socketio 是 Socket.IO 即時用戶端和伺服器的 Python 實作。在 5.14.0 之前的 python-socketio 版本中存在一個遠端程式碼執行弱點，允許攻擊者在多伺服器部署中透過惡意的 pickle 還原序列化執行任意 Python 程式碼，前提是攻擊者已經獲得伺服器之間用於內部通訊的訊息佇列存取權。當 Socket.IO 伺服器設為使用訊息佇列後端 (如 Redis) 進行伺服器間通訊時，在伺服器之間傳送的訊息會使用 Python 模組「pickle」進行編碼。當伺服器透過訊息佇列收到其中一個訊息時，會假設該訊息是受信任的，並立即將其還原序列化。此弱點是因為使用 Python 的「pickle.loads()」函式將訊息還原序列化所致。先前取得訊息佇列存取權的攻擊者可透過 Python 的「__reduce__」方法，將特製的 pickle 承載傳送給 python-socketio 伺服器，其可在還原序列化期間執行任意程式碼。此弱點只會影響訊息佇列受到入侵的部署。此攻擊可能導致攻擊者在 Socket.IO 伺服器處理程序的上下文中以其權限執行任意程式碼。不使用訊息佇列的單一伺服器系統，以及具有安全訊息佇列的多伺服器系統不會受到影響。除了確保在部署訊息佇列時遵循標準安全性做法，python-socketio 套件的使用者也可以升級至 5.14.0 版或更新版本，這些版本已移除「pickle」模組，並改用更安全的 JSON 編碼作為伺服器間訊息傳遞方式。(CVE-2025-61765)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2025-61765

medium Nessus Plugin ID 269313

版本 1.3