遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2025-11111:08 公告中所提及。

    * CVE-2024-12718、 CVE-2025-4138、 CVE-2025-4330、 CVE-2025-4435、 CVE-2025-4517
    修正多個 tarfile 擷取篩選器繞過 (filter=tar/filter=data) CVE(s)
    CVE-2025-4435 使用 TarFile.errorlevel = 0 並以篩選器擷取時記錄在案的行為為系統會略過所有篩選的成員且不會擷取。不過在受影響版本中TarFile.errorlevel = 0 的實際行為是該成員仍會擷取且不會略過。
    CVE-2024-12718 允許以擷取目錄外的檔案 filter=tar 修改部分檔案中繼資料 (例如上次修改時間) (例如上次修改時間)。如果您使用 tarfile 模組，並透過 TarFile.extractall() 或 TarFile.extract() 搭配值為 data 或 tar 的 filter= 參數來擷取未受信任的 tar 封存，您將會受到此弱點影響。細資訊請參閱 tarfile 擷取篩選器說明文件 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor。只有 Python 3.12 版或更新版本會受到這些弱點影響，較舊的版本不包含擷取篩選器功能。請注意，針對 Python 3.14 或更新版本，filter= 的預設值會從不篩選變更為「資料」，因此若您依賴此新的預設行為，那麼您的使用情況也會受到影響。請注意，這些弱點都不會對來源發行版本的安裝造成重大影響，因為來源發行版本已允許在建構程序期間執行任意程式碼，而這些發行版本是 tar 封存。不過在評估來源發行版本時請務必避免安裝含有可疑連結的來源發行版本。
    CVE-2025-4517 允許在使用 filter=data 擷取時在擷取目錄之外的任意檔案系統寫入。
    如果您使用 tarfile 模組，並透過 TarFile.extractall() 或 TarFile.extract() 搭配值為 data 或 tar 的 filter= 參數來擷取未受信任的 tar 封存，您將會受到此弱點影響。細資訊請參閱 tarfile 擷取篩選器說明文件 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor。請注意，針對 Python 3.14 或更新版本，filter= 的預設值會從不篩選變更為「資料」，因此若您依賴此新的預設行為，那麼您的使用情況也會受到影響。請注意，這些弱點都不會對來源發行版本的安裝造成重大影響，因為來源發行版本已允許在建構程序期間執行任意程式碼，而這些發行版本是 tar 封存。不過在評估來源發行版本時請務必避免安裝含有可疑連結的來源發行版本。
    CVE-2025-4330 允許略過擷取篩選器進而允許符號連結目標指向目的地目錄之外並允許修改部分檔案中繼資料。如果您使用 tarfile 模組，並透過 TarFile.extractall() 或 TarFile.extract() 搭配值為 data 或 tar 的 filter= 參數來擷取未受信任的 tar 封存，您將會受到此弱點影響。細資訊請參閱 tarfile 擷取篩選器說明文件 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor。請注意，針對 Python 3.14 或更新版本，filter= 的預設值會從不篩選變更為「資料」，因此若您依賴此新的預設行為，那麼您的使用情況也會受到影響。請注意，這些弱點都不會對來源發行版本的安裝造成重大影響，因為來源發行版本已允許在建構程序期間執行任意程式碼，而這些發行版本是 tar 封存。不過在評估來源發行版本時請務必避免安裝含有可疑連結的來源發行版本。
    CVE-2025-4138 允許略過擷取篩選器進而允許符號連結目標指向目的地目錄之外並允許修改部分檔案中繼資料。如果您使用 tarfile 模組，並透過 TarFile.extractall() 或 TarFile.extract() 搭配值為 data 或 tar 的 filter= 參數來擷取未受信任的 tar 封存，您將會受到此弱點影響。細資訊請參閱 tarfile 擷取篩選器說明文件 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor。請注意，針對 Python 3.14 或更新版本，filter= 的預設值會從不篩選變更為「資料」，因此若您依賴此新的預設行為，那麼您的使用情況也會受到影響。請注意，這些弱點都不會對來源發行版本的安裝造成重大影響，因為來源發行版本已允許在建構程序期間執行任意程式碼，而這些發行版本是 tar 封存。不過在評估來源發行版本時請務必避免安裝含有可疑連結的來源發行版本。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 7python3-3.6.8-21.0.5.0.2.el7.AXS7 (AXSA:2025-11111:08)

critical Nessus Plugin ID 283218

版本 1.3