Debian dla-4780 ： python-urwid-doc - 安全性更新

critical Nessus Plugin ID 345820

語言:

概要

遠端 Debian 主機缺少安全性相關更新。

說明

遠端 Debian 12 主機已安裝的套件會受到 dla-4780 公告中提及的弱點影響。

- ------------------------------------------------------------------------- Debian LTS 公告 DLA-4780-1 [email protected] https://www.debian.org/lts/security/Abhijith 賓州 2026 年 9 月 15 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

套件：urwid 版本：2.1.2-4+deb12u1 CVE 識別碼： CVE-2026-9323

urwid Web 顯示後端透過連接兩個使用 Python 的 Mersenne Twister PRNG 的 random.randrange（10**9）呼叫來產生 Web 會話標識符，這在加密上並不安全。相同的識別碼也用作在 world-listable /tmp 目錄中建立的 FIFO 的檔名，因此主機上的任何本機使用者都可以列出 /tmp 以直接列舉作用中的工作階段權杖。使用有效的工作階段 ID，攻擊者可以透過輪詢端點讀取受害者的終端機螢幕，將擊鍵注入受害者的工作階段，並注入退出序列或淹沒 FIFO 以終止或崩潰工作階段。

對於 Debian 12 書蟲，此問題已在 2.1.2-4+deb12u1 版本中修正。

建議您升級 urwid 套件。

有關 urwid 的詳細安全狀態，請參閱其安全追蹤器頁面：
https://security-tracker.debian.org/tracker/urwid

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級 python-urwid-doc 套件。

另請參閱

https://packages.debian.org/source/bookworm/urwid

https://security-tracker.debian.org/tracker/CVE-2026-9323

https://security-tracker.debian.org/tracker/source-package/urwid

Plugin 詳細資訊

嚴重性: Critical

ID: 345820

檔案名稱: debian_DLA-4780.nasl

版本: 1.1

類型: Local

代理程式: unix

系列: Debian Local Security Checks

已發布: 2026/9/15

已更新: 2026/9/15

支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus