AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1790238098 公告中提及的多個弱點影響。

  - urllib.request 模組中的 HTTPPasswordMgr 類別及其子類別 HTTPPasswordMgrWithDefaultRealm 和 HTTPPasswordMgrWithPriorAuth 在將儲存的認證與要求的 URL 進行比對時，未考慮 URL 配置。為 https:// URL 新增的憑證也會用於透過 http:// 向相同主機發出的要求，因此能夠將用戶端重新導向或降級為純HTTP （例如，透過HTTPS到HTTP重新導向或路徑上位置） 的攻擊者可以以純文字擷取憑證。為 http:// URL 新增的憑證同樣可以透過 https:// 傳送。認證比對現在以 URL 配置限定範圍。使用包含配置的 URL 註冊的憑證僅用於具有相同配置的要求。向裸授權單位 （例如 example.com 或 example.com:8080） 註冊的憑證會繼續符合任何配置，從而保持與現有程式碼 （包括 Proxy 驗證） 的相容性。無法立即升級的使用者可以透過確保應用程式永遠不會向已註冊其憑證的主機發出純 http:// 要求來緩解，例如不遵循重新導向至 http:// URL。（CVE-2026-15806）

  - unicodedata.normalize（） 在處理特製的 Unicode 輸入時，可能會佔用過多的 CPU 時間，其中包含長時間的組合字元與交替的標準組合類別值。這會影響所有正規化表單。（CVE-2026-3276）

  - 可以使用特製的連結項目 （包括具有空名稱或類似目錄的符號連結） 來繞過tarfile.data_filter，以將稍後的封存成員重新導向到預期的擷取目錄之外。這允許惡意 tar 封存導致 tarfile.extractall（） 在目標目錄之外寫入檔案，但須遵守擷取程序的權限。（CVE-2026-7774）

  - 在 CPython 3.13 和更早版本中，tarfile 模組的資料和 tar 擷取篩選器容易受到包含符號連結硬連結的特製封存的攻擊。這類封存可能會導致擷取，以修改目標目錄之外檔案的權限或修改時間，或在擷取的樹狀結構中公開該檔案的內容。（CVE-2026-82049）

  - 修正時 CVE-2021-4189 ，Lib/ftplib.py 中的 ftpcp（） 函式未更新。雖然 makepasv（） 已修補以將伺服器提供的 PASV 主機位址替換為實際的對等位址 （getpeername（）[0]），但 ftpcp（） 仍會直接呼叫 parse227（），並將原始攻擊者可控制的 IP 位址和連接埠傳遞給 target.sendport（）。此修補程式與 相關。 CVE-2021-4189（CVE-2026-8328）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

AlmaLinux 9.2 [TuxCare] 安全性更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / etc多個弱點（ALMALINUX9.2：CLSA-2026：1790238098）

high Nessus Plugin ID 359892

版本 1.2

偵測

AlmaLinux 9.2 [TuxCare] 安全性更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / etc多個弱點 （ALMALINUX9.2：CLSA-2026：1790238098）

high Nessus Plugin ID 359892

版本 1.2

AlmaLinux 9.2 [TuxCare] 安全性更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / etc多個弱點（ALMALINUX9.2：CLSA-2026：1790238098）