Amazon Linux 2023：python3.13、python3.13-devel、python3.13-freethreading （ALAS2023-2026-3229）
critical Nessus Plugin ID 371824
語言:
概要
遠端 Amazon Linux 2023 主機缺少一個安全性更新。說明
因此，它會受到 ALAS2023-2026-3229 公告中所提及的多個弱點影響。使用 bzip/LZMA/Zstandard 解壓縮特製的 zip 檔案時
壓縮時，Python 可以使用攻擊者控制的大小來
預先配置記憶體，可能會導致記憶體耗盡。（CVE-2026-15310）
urllib.request 模組中的 HTTPPasswordMgr 類別及其子類別 HTTPPasswordMgrWithDefaultRealm 和 HTTPPasswordMgrWithPriorAuth 在將儲存的認證與要求的 URL 進行比對時，未考慮 URL 配置。為 https:// URL 新增的憑證也會用於透過 http:// 向相同主機發出的要求，因此能夠將用戶端重新導向或降級為純HTTP （例如，透過HTTPS到HTTP重新導向或路徑上位置） 的攻擊者可以以純文字擷取憑證。為 http:// URL 新增的憑證同樣可以透過 https:// 傳送。
認證比對現在以 URL 配置限定範圍。使用包含配置的 URL 註冊的憑證僅用於具有相同配置的要求。向裸授權單位 （例如 example.com 或 example.com:8080） 註冊的憑證會繼續符合任何配置，從而保持與現有程式碼 （包括 Proxy 驗證） 的相容性。
無法立即升級的使用者可以透過確保應用程式永遠不會向已註冊其憑證的主機發出純 http:// 要求來緩解，例如不遵循重新導向至 http:// URL。（CVE-2026-15806）
stringprep 模組未正確處理 RFC 3454 表格 B.2 或 B.3 中的字元：使用最新的 Unicode 程式碼點屬性，而不是指定的 Unicode 3.2.0。使用 IDNA 2003 （idnacodec） 和 stringprep 模組的 in_table_b2（） 函式處理網域名稱時，此行為會導致不相符。這只會影響包含先前未註冊或自 Unicode 3.2.0以來已更新其 Unicode 屬性的字元的網域名稱，例如大小寫折疊行為。（CVE-2026-17084）
如果遠端、未經驗證的TLS用戶端sni_callback將不同的內容指派給 SSLSocket.context （根據伺服器名稱選取憑證的記錄方式），並且沒有其他內容保留原始 SSL，則其伺服器可能會當機或呼叫已釋放的指標。SSLContext 處於活動狀態。典型案例是為每個連線建立 SSLContext 或在連線開啟時替換它的伺服器;用它包裝其偵聽通訊端的伺服器不會受到影響。
緩解措施：保留對為伺服器生命週期設定sni_callback的每個 SSLContext 的參照。TLS 用戶端不受影響。（CVE-2026-19445）
ssl。SSLContext.wrap_bio（） 不需要 server_hostname 參數如果 ssl 則不為 None。SSLContext.check_hostname定了。由於 SSLObject 中缺少參數檢查，如果未提供 server_hostname 引數，則會以無訊息方式跳過主機名稱驗證。
此缺陷可能會導致程式在 SSLContext.check_hostname = True 的情況下成功執行憑證主機名稱驗證*，並且由於設定錯誤而引發 noValueError。
如果程式傳遞不是空字串或 None 的server_hostname值給任何這些 API，則憑證主機名稱驗證會如預期般進行，而且程式不會受到此弱點的影響。
緩解此弱點不需要更新 Python 或套用修補程式。若要緩解這種情況，請將有效的非 None 和 non-emptyserver_hostname 值傳遞給 SSLContext.wrap_bio（）、asyncio.create_connection（） 或 asyncio.loop.start_tls（），憑證主機名稱驗證將如預期般進行。升級至最新版本的 Python 或套用修補程式只會將行為從無訊息地跳過主機名稱驗證變更為引發 aValueError，類似於 SSLContext.wrap_socket（），如果未提供server_hostnameisn。（CVE-2026-19553）
tarfile 模組的 tar 和 dataextraction 篩選在目的地之外建立的目錄，其名稱離開目的地並返回目的地的成員，例如 .。/邪惡/../dest/sub/file 中。包含檢查使用已解析的路徑，但中繼目錄是根據指定的名稱建立的。
只有空白目錄是在目的地外部建立。成員內容仍會在其中擷取。
若要返回目的地，成員的名稱必須包含目的地目錄自己的最終元件，因此擷取到安全的隨機目錄不會受到影響。
這只會影響 POSIX 平台。在 Windows 上， ..元件在路徑到達檔案系統之前會摺疊，因此永遠不會建立目的地之外的目錄。（CVE-2026-19672）
在 CPython 3.13 和更早版本中，tarfile 模組的資料和 tar 擷取篩選器容易受到包含符號連結硬連結的特製封存的影響。這類封存可能會導致擷取，以修改目標目錄之外檔案的權限或修改時間，或在擷取的樹狀結構中公開該檔案的內容。（CVE-2026-82049）
當 tarfile 在不支援連結的系統上擷取連結時，它會回復為從封存中擷取成員。在此情況下，篩選函式會執行兩次：一次針對擷取的成員，另一次將名稱設定為連結的位置。針對其中一個呼叫，傳回值會被忽略。相反地，如果任一呼叫傳回 None，則應該略過成員。（CVE-2026-87910）
Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
執行 'dnf update python3.13 --releasever 2023.12.20261026' 或 'dnf update --advisory ALAS2023-2026-3229 --releasever 2023.12.20261026' 來更新您的系統。另請參閱
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3229.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-15310.html
https://explore.alas.aws.amazon.com/CVE-2026-15806.html
https://explore.alas.aws.amazon.com/CVE-2026-17084.html
https://explore.alas.aws.amazon.com/CVE-2026-19445.html
https://explore.alas.aws.amazon.com/CVE-2026-19553.html
https://explore.alas.aws.amazon.com/CVE-2026-19672.html
Plugin 詳細資訊
嚴重性: Critical
ID: 371824
檔案名稱: al2023_ALAS2023-2026-3229.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/10/25
已更新: 2026/10/25
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.9
百分位數: 96.41
CVSS v2
風險因素: High
基本分數: 9.4
時間性分數: 7
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS 評分資料來源: CVE-2026-82049
CVSS v3
風險因素: High
基本分數: 8.1
時間性分數: 7.1
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS 評分資料來源: CVE-2026-19445
CVSS v4
風險因素: Critical
Base Score: 9.2
Threat Score: 7.1
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
CVSS 評分資料來源: CVE-2026-19445
弱點資訊
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:python3.13-debug, p-cpe:/a:amazon:linux:python3.13-debuginfo, p-cpe:/a:amazon:linux:python3.13-debugsource, p-cpe:/a:amazon:linux:python3.13-devel, p-cpe:/a:amazon:linux:python3.13-freethreading-debug, p-cpe:/a:amazon:linux:python3.13-freethreading, p-cpe:/a:amazon:linux:python3.13-idle, p-cpe:/a:amazon:linux:python3.13-libs, p-cpe:/a:amazon:linux:python3.13-test, p-cpe:/a:amazon:linux:python3.13-tkinter, p-cpe:/a:amazon:linux:python3.13
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/10/24
弱點發布日期: 2026/8/18
參考資訊
CVE: CVE-2026-15310, CVE-2026-15806, CVE-2026-17084, CVE-2026-19445, CVE-2026-19553, CVE-2026-19672, CVE-2026-82049, CVE-2026-87910
IAVA: 2026-A-0890