AlmaLinux 9.2 [TuxCare] 安全性更新：python-unversioned-command / python3 / python3-debug / etc 多個弱點 （ALMALINUX9.2：CLSA-2026：1791919907）
medium Nessus Plugin ID 365492
語言:
概要
AlmaLinux 主機缺少一個或多個安全性更新。說明
AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1791919907 公告中提及的多個弱點影響。- urllib.request 模組中的 HTTPPasswordMgr 類別及其子類別 HTTPPasswordMgrWithDefaultRealm 和 HTTPPasswordMgrWithPriorAuth 在將儲存的認證與要求的 URL 進行比對時，未考慮 URL 配置。為 https:// URL 新增的憑證也會用於透過 http:// 向相同主機發出的要求，因此能夠將用戶端重新導向或降級為純HTTP （例如，透過HTTPS到HTTP重新導向或路徑上位置） 的攻擊者可以以純文字擷取憑證。為 http:// URL 新增的憑證同樣可以透過 https:// 傳送。認證比對現在以 URL 配置限定範圍。使用包含配置的 URL 註冊的憑證僅用於具有相同配置的要求。向裸授權單位 （例如 example.com 或 example.com:8080） 註冊的憑證會繼續符合任何配置，從而保持與現有程式碼 （包括 Proxy 驗證） 的相容性。無法立即升級的使用者可以透過確保應用程式永遠不會向已註冊其憑證的主機發出純 http:// 要求來緩解，例如不遵循重新導向至 http:// URL。（CVE-2026-15806）
- tarfile 模組的 tar 和資料擷取會篩選在目的地之外建立的目錄，以取得名稱離開目的地並返回目的地的成員，例如 ../邪惡/../dest/sub/file 中。包含檢查使用已解析的路徑，但中繼目錄是根據指定的名稱建立的。只會在目的地外部建立空白目錄。成員內容仍會在其中擷取。若要返回目的地，成員的名稱必須包含目的地目錄自己的最終元件，因此擷取到安全的隨機目錄不會受到影響。這只會影響 POSIX 平台。在 Windows 上， ..元件在路徑到達檔案系統之前會摺疊，因此永遠不會建立目的地之外的目錄。（CVE-2026-19672）
- 修正時 CVE-2021-4189 ，Lib/ftplib.py 中的 ftpcp（） 函式未更新。雖然 makepasv（） 已修補以將伺服器提供的 PASV 主機位址替換為實際的對等位址 （getpeername（）[0]），但 ftpcp（） 仍會直接呼叫 parse227（），並將原始攻擊者可控制的 IP 位址和連接埠傳遞給 target.sendport（）。此修補程式與 相關。 CVE-2021-4189（CVE-2026-8328）
- 當 tarfile 在不支援連結的系統上擷取連結時，它會回復為從封存中擷取成員。在此情況下，篩選函式會執行兩次：一次針對擷取的成員，另一次將名稱設定為連結的位置。針對其中一個呼叫，傳回值會被忽略。相反地，如果任一呼叫傳回 None，則應該略過成員。（CVE-2026-87910）
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 TuxCare 公告 ALMALINUX9.2：CLSA-2026：1791919907 中的指引更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 365492
檔案名稱: tuxcare_alma_linux_9.2_CLSA-2026-1791919907.nasl
版本: 1.1
類型: Local
已發布: 2026/10/13
已更新: 2026/10/13
支援的感應器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.3
百分位數: 53.44
Vendor
Vendor Severity: Moderate
CVSS v2
風險因素: Medium
基本分數: 5.4
時間性分數: 4
媒介: CVSS2#AV:N/AC:H/Au:N/C:C/I:N/A:N
CVSS 評分資料來源: CVE-2026-15806
CVSS v3
風險因素: Medium
基本分數: 5.9
時間性分數: 5.2
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
風險因素: Medium
Base Score: 6.3
Threat Score: 1.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
CVSS 評分資料來源: CVE-2026-19672
弱點資訊
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/OS/extended-third-party
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/10/13
弱點發布日期: 2026/5/13
參考資訊
CVE: CVE-2026-15806, CVE-2026-19672, CVE-2026-8328, CVE-2026-87910
CLSA: 2026:1791919907