CentOS Linux 7 [TuxCare] 安全性更新：python3 / python3-debug / python3-devel / python3-idle / etc多個弱點 （CENTOS7：CLSA-2026：1777970333）
medium Nessus Plugin ID 359950
語言:
概要
CentOS Linux 主機缺少一個或多個安全性更新。說明
CentOS Linux 7 主機已安裝的套件會受到 TuxCare CENTOS7：CLSA-2026：1777970333 公告中提及的多個弱點影響。- python/cpython 套件 0 至 3.6.13 之前版本、3.7.0 至 3.7.10 之前版本、3.8.0 至 3.8.8 之前版本、3.9.0 至 3.9.2 之前版本容易受到 Web 快取毒害攻擊，攻擊者可使用一個稱為參數偽裝的向量透過 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 發動攻擊。當攻擊者可使用分號 (;) 分隔查詢參數時，可造成 Proxy (以預設組態執行) 和伺服器之間的要求解譯不同。這可導致將惡意要求快取為完全安全的要求，因為 Proxy 通常不會將分號視為分隔符號，因此不會將其包含在無索引鍵參數的快取金鑰中。(CVE-2021-23336)
- urllib 的 AbstractBasicAuthHandler 類別中有一個缺陷。控制 HTTP 用戶端 (例如網頁瀏覽器) 所連線之惡意 HTTP 伺服器的攻擊者，可使用伺服器傳送至用戶端的特製承載，在驗證要求期間觸發規則運算式拒絕服務 (ReDOS)。此缺陷對應用程式的可用性威脅最大。
(CVE-2021-3733)
- 在 Python 中發現一個缺陷瑕疵，尤其是在 PASV (被動式) 模式下的 FTP (檔案傳輸通訊協定) 用戶端程式庫中。問題在於 FTP 用戶端在預設情況下如何信任來自 PASV 回應的主機。此缺陷允許攻擊者設定惡意的 FTP 伺服器，誘騙 FTP 用戶端重新連線至指定的 IP 位址和連接埠。此弱點可導致 FTP 用戶端掃描連接埠，而這本來是不可能的。(CVE-2021-4189)
- 在 fdc6fef 之前的 Keccak XKCP SHA-3 參照實作中發現整數溢位問題和由此產生的緩衝區溢位，攻擊者可以藉此執行任意程式碼或消除預期的密碼編譯屬性。
這問題發生在 sponge 函式介面中。(CVE-2022-37454)
- 在 Python 3.9.1 及更低版本的 Lib/hmac.py 之 compare_digest 中發現一個問題。在 hmac.compare_digest 的 accumulator 變數中可能進行常數時間失敗最佳化。(CVE-2022-48566)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 TuxCare 公告 CENTOS7：CLSA-2026：1777970333 中的指引更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 359950
檔案名稱: tuxcare_centos_7_CLSA-2026-1777970333.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/10/1
已更新: 2026/10/1
支援的感應器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: High
分數: 7.6
百分位數: 98.37
Vendor
Vendor Severity: Critical
CVSS v2
風險因素: Medium
基本分數: 4
時間性分數: 3.1
媒介: CVSS2#AV:N/AC:H/Au:N/C:N/I:P/A:P
CVSS 評分資料來源: CVE-2021-23336
CVSS v3
風險因素: Critical
基本分數: 9.8
時間性分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2022-37454
CVSS v4
風險因素: Medium
Base Score: 6
Threat Score: 5.5
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
CVSS 評分資料來源: CVE-2026-1299
弱點資訊
必要的 KB 項目: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list, Host/OS/extended-third-party
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/5/5
弱點發布日期: 2021/1/28
參考資訊
CVE: CVE-2021-23336, CVE-2021-3733, CVE-2021-4189, CVE-2022-37454, CVE-2022-48566, CVE-2023-27043, CVE-2026-1299
CLSA: 2026:1777970333