Azure Linux 3.0 安全性更新python-waitress (CVE-2022-24761)

high Nessus Plugin ID 295279

語言:

概要

遠端 Azure Linux 主機缺少一個或多個安全性更新。

說明

遠端 Azure Linux 3.0 主機上安裝的 python-waitress 版本比測試版本舊。因此，它會受到 CVE-2022-24761 公告中提及的一個弱點影響。

- waitress 是適用於 Python 2 和 3 的 Web 伺服器閘道介面伺服器。在未正確驗證傳入 HTTP 要求符合 RFC7230 標準的 Proxy 背後使用 2.1.0 及之前版本時Waitress 和前端代理伺服器可能無法在要求的起始位置和結束位置。這會允許透過前端代理伺服器將要求走私給服務生，然後再採取行動。有兩種類型的弱點可能導致要求走私但此公告已解決使用 Python 的「int()」來剖析字串為整數造成「+10」或「10」被剖析為「10」。 0x01` 將剖析為 `1`其中因為標準指定字串應僅包含數字或十六進位數字
Waitress 不支援區塊延伸模組，但它會在未驗證區塊延伸模組不包含非法字元的情況下予以捨棄。已在 Waitress 2.1.1 中修正此弱點。現也已提供因應措施。在 waitress 前面部署代理伺服器時，開啟所有功能以確保要求符合 RFC7230 標準。某些 Proxy 伺服器可能沒有此功能建議使用者升級至 waitress 的最新版本。
(CVE-2022-24761)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。