This update for python-bleach fixes the following issues :

  - CVE-2021-23980: Fixed mutation XSS on bleach.clean with     specific combinations of allowed tags (boo#1184547)

Update to 3.1.5 :

  - replace missing ``setuptools`` dependency with     ``packaging``. Thank you Benjamin Peterson.

Update to 3.1.4 (boo#1168280, CVE-2020-6817) :

  - ``bleach.clean`` behavior parsing style attributes could     result in a regular expression denial of service     (ReDoS). Calls to ``bleach.clean`` with an allowed tag     with an allowed ``style`` attribute were vulnerable to     ReDoS. For example, ``bleach.clean(..., attributes=('a':
    ['style']))``.

  - Style attributes with dashes, or single or double quoted     values are cleaned instead of passed through.

update to 3.1.3 (boo#1167379, CVE-2020-6816) :

  - Add relative link to code of conduct. (#442)

  - Drop deprecated 'setup.py test' support. (#507)

  - Fix typo: curren -> current in tests/test_clean.py     (#504)

  - Test on PyPy 7

  - Drop test support for end of life Python 3.4

  - ``bleach.clean`` behavior parsing embedded MathML and     SVG content with RCDATA tags did not match browser     behavior and could result in a mutation XSS. Calls to     ``bleach.clean`` with ``strip=False`` and ``math`` or     ``svg`` tags and one or more of the RCDATA tags     ``script``, ``noscript``, ``style``, ``noframes``,     ``iframe``, ``noembed``, or ``xmp`` in the allowed tags     whitelist were vulnerable to a mutation XSS.

It was discovered that there was a cross-site scripting (XSS) vulnerability in python-bleach, a whitelist-based HTML sanitisation library.

For Debian 9 'Stretch', this problem has been fixed in version 2.0-1+deb9u1.

We recommend that you upgrade your python-bleach packages.

For the detailed security status of python-bleach please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/python-bleach

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

It was reported that python-bleach, a whitelist-based HTML-sanitizing library, is prone to a mutation XSS vulnerability in bleach.clean when'svg' or 'math' are in the allowed tags, 'p' or 'br' are in allowed tags, 'style', 'title', 'noscript', 'script', 'textarea', 'noframes','iframe', or 'xmp' are in allowed tags and 'strip_comments=False' is set.

The remote Redhat Enterprise Linux 7 / 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2021:0781 advisory.

    Red Hat Ansible Automation Platform integrates Red Hat's automation suite consisting of Red Hat Ansible     Tower, Red Hat Ansible Engine, Automation Hub and use-case specific capabilities for Microsoft Windows,     network, security, and more, along with Software-as-a-Service (SaaS)-based capabilities and features for     organization-wide effectiveness.

    This update fixes various bugs and adds enhancements. Documentation for     these changes is available from the Release Notes document linked to in the     References section.

    Security Fix(es):

    * node-notifier: nodejs-node-notifier: command injection due to the options params not being sanitised     when being passed an array (CVE-2020-7789)
    * nodejs-ajv: prototype pollution via crafted JSON schema in ajv.validate function (CVE-2020-15366)
    * django: Potential directory-traversal via archive.extract() (CVE-2021-3281)
    * python-pygments: infinite loop in SML lexer may lead to DoS (CVE-2021-20270)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ホワイトリストベースの HTML サニタイズライブラリである python-bleach に、クロスサイトスクリプティング (XSS) の脆弱性があることが発見されました。

Debian 9 'Stretch では、この問題はバージョン 2.0-1+deb9u1 で修正されています。

お使いの python-bleach パッケージをアップグレードすることを推奨します。

python-bleach の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/python-bleach

注: Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Redhat Enterprise Linux 7 / 8 ホストに、RHSA-2021:0781 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - nodejs-node-notifier: 配列が渡される際にオプションのパラメーターがサニタイズされないことによる、コマンドインジェクション (CVE-2020-7789)

  - nodejs-ajv: ajv.validate 関数における細工された JSON スキーマによるプロトタイプ汚染 (CVE-2020-15366)

  - django: archive.extract() による潜在的なディレクトリトラバーサル (CVE-2021-3281)

  - python-pygments: SMLレクサーの無限ループにより、DoS が引き起こされる可能性があります (CVE-2021-20270)

  - python-bleach: bleach.clean における Mutation クロスサイトスクリプティング (CVE-2021-23980)

  - python-pygments: 複数のレクサーにおける ReDoS (CVE-2021-27291)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

この python-bleach 用の更新プログラムでは、次の問題が修正されています。

  - CVE-2021-23980: 許可されたタグの特定の組み合わせによる bleach.clean の変異 XSS を修正しました (boo#1184547)

3.1.5への更新:

  - 欠落している「setuptools」の依存関係を「packaging」で置き換えます。Benjamin Peterson 氏に感謝します。

3.1.4への更新(boo#1168280、CVE-2020-6817):

  - スタイル属性を解析する「bleach.clean」動作により、正規表現のサービス拒否 (ReDoS) が発生する可能性があります。許可された「スタイル」属性と許可されたタグによる「bleach.clean」への呼び出しは、ReDoS に対して脆弱です。たとえば、「bleach.clean(..., attributes=('a':
    ['style']))」です。

  - ダッシュのあるスタイル属性、または一重引用符または二重引用符で囲まれた値は、パススルーされる代わりに消去されます。

- 3.1.3 への更新 (boo#1167379、CVE-2020-6816) :

  - 行動規範への相対リンクを追加します。(#442)

  - 廃止された「setup.py test」サポートをドロップします。(#507)

  - 誤字:  curren -> current in tests/test_clean.py の最新版を修正します (#504)

  - PyPy 7 でのテスト

  - 最終版 Python 3.4 のテストサポートをドロップします

  - 組み込まれた MathML および SVG コンテンツを RCDATA タグで解析する「bleach.clean」の動作がブラウザの動作と一致せず、変異 XSS が発生する可能性があります。許可されたタグのホワイトリストにおける「strip=False」と「math」または「svg」タグ、および1つ以上のRCDATAタグ「script」、「noscript」、「style」、「noframes」、「iframe」、「noembed」、または「xmp」を使用した「bleach.clean」への呼び出しは、変異XSSに脆弱でした。

據報告，在 python-bleach (一個白名單型 HTML 清理庫) 中，若「svg」或「math」位於允許的標籤中，「p」或「br」位於允許的標籤中，「style」、「title」、「noscript」、「textarea」、「noframes」、「iframe」或「xmp」位於允許的標籤中，且已設定「strip_comments=False」，bleach.clean 中會出現突變型 XSS 弱點。

ホワイトリストベースの HTML サニタイズライブラリである python-bleach は、許可されたタグに「svg」または「math」がある場合、「p」または「br」の場合に、bleach.clean の変異 XSS の脆弱性の影響を受けやすいことが報告されました。許可されたタグで、「style」、「title」、「noscript」、「script」、「textarea」、「noframes」、「iframe」、または「xmp」が許可されたタグにあり、「strip_comments = False」が設定されています。

在 python-bleach (一個基於白名單的 HTML 清理庫) 中發現跨網站指令碼 (XSS) 弱點。

針對 Debian 9「Stretch」，已在 2.0-1+deb9u1 版本中修正此問題。

建議您升級 python-bleach 套件。

如需有關 python-bleach 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-bleach

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

远程 Redhat Enterprise Linux 7/8 主机上安装的多个程序包受到 RHSA-2021:0781 公告中提及的多个漏洞影响。

  - nodejs-node-notifier：由于未审查选项参数便向其传递数组导致的命令注入 (CVE-2020-7789)

  - nodejs-ajv：通过在 ajv.validate 函数中构建的 JSON 方案造成的原型污染 (CVE-2020-15366)

  - django：通过 archive.extract() 执行潜在目录遍历 (CVE-2021-3281)

  - python-pygments：SML 词法分析器中的无限循环可能导致 DoS (CVE-2021-20270)

  - python-bleach：bleach.clean 中的突变跨站脚本 (CVE-2021-23980)

  - python-pygments：多个词法分析器中的 ReDoS (CVE-2021-27291)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

据发现，基于白名单的 HTML 审查库 python-bleach 中存在一个跨站脚本 (XSS) 漏洞。

对于 Debian 9“Stretch”，已在版本 2.0-1+deb9u1 中修复此问题。

我们建议您升级 python-bleach 程序包。

如需了解 python-bleach 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-bleach

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

据报告，当“svg”或“math”位于允许的标签中，“p”或“br”位于允许的标签中，“style”、“title”、“noscript”、“textarea”、“noframes”、“iframe”或“xmp”在允许的标签中，并且设置了“strip_comments=False”时，基于白名单的 HTML 审查库 python-bleach 容易受到 blink.clean 中的突变 XSS 漏洞的影响。

遠端 Redhat Enterprise Linux 7 / 8 主機上安裝的多個套件受到 RHSA-2021:0781 公告中提及的多個弱點影響。

  - nodejs-node-notifier：由於在傳遞陣列時未清理選項參數，導致發生命令注入攻擊 (CVE-2020-7789)

  - nodejs-ajv：透過 ajv.validate 函式中的特製 JSON 結構描述造成原型污染 (CVE-2020-15366)

  - django：透過 archive.extract() 造成潛在目錄遊走 (CVE-2021-3281)

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python-breach：batch.clean 中的突變跨網站指令碼 (CVE-2021-23980)

  - python-pygments：多個詞法分析器中的 ReDoS (CVE-2021-27291)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
148606	openSUSE Security Update : python-bleach (openSUSE-2021-552)	Nessus	SuSE Local Security Checks	2021/4/15	2024/1/4	medium
148363	Debian DLA-2620-1 : python-bleach security update	Nessus	Debian Local Security Checks	2021/4/7	2024/1/12	medium
148756	Debian DSA-4892-1 : python-bleach - security update	Nessus	Debian Local Security Checks	2021/4/19	2024/1/12	medium
194285	RHEL 7 / 8 : Red Hat Ansible Automation Platform 1.2.2 (RHSA-2021:0781)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/6/4	medium
148363	Debian DLA-2620-1 : python-bleach セキュリティ更新	Nessus	Debian Local Security Checks	2021/4/7	2024/1/12	medium
194285	RHEL 7 / 8 : Red Hat Ansible Automation Platform 1.2.2 (RHSA-2021:0781)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/6/4	medium
148606	openSUSE セキュリティ更新プログラム: python-bleach(openSUSE-2021-552)	Nessus	SuSE Local Security Checks	2021/4/15	2024/1/4	medium
148756	Debian DSA-4892-1：python-bleach - 安全性更新	Nessus	Debian Local Security Checks	2021/4/19	2024/1/12	medium
148756	DebianDSA-4892-1：python-bleach - セキュリティ更新	Nessus	Debian Local Security Checks	2021/4/19	2024/1/12	medium
148363	Debian DLA-2620-1：python-bleach 安全性更新	Nessus	Debian Local Security Checks	2021/4/7	2024/1/12	medium
194285	RHEL 7/8：Red Hat Ansible Automation Platform 1.2.2 (RHSA-2021:0781)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/6/4	medium
148363	Debian DLA-2620-1：python-bleach 安全更新	Nessus	Debian Local Security Checks	2021/4/7	2024/1/12	medium
148756	Debian DSA-4892-1：python-bleach - 安全更新	Nessus	Debian Local Security Checks	2021/4/19	2024/1/12	medium
194285	RHEL 7 / 8：Red Hat Ansible Automation Platform 1.2.2 (RHSA-2021:0781)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/6/4	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium