遠端 Debian 9 主機上安裝的多個套件受到 dla-2950 公告中提及的多個弱點影響。

  - Scrapy 是適用 Python 的高階 Web 爬取與抓取架構。如果您使用 `HttpAuthMiddleware` (即 `http_user` 和 `http_pass` Spider 屬性) 進行 HTTP 驗證，則所有要求都會將您的憑證公開給要求目標。這包括由 Scrapy 元件產生的要求，例如當 `ROBOTSTXT_OBEY` 設定設為 `True` 時，Scrapy 傳送的 `robots.txt` 要求，或透過重新導向到達的要求。升級至 Scrapy 2.5.1 並使用新的 `http_auth_domain` spider 屬性來控制允許哪些網域接收已設定的 HTTP 驗證憑證。如果您使用的是 Scrapy 1.8 或更低版本，且無法升級至 Scrapy 2.5.1 ，則可以改為升級至 Scrapy 1.8.1 。如果無法升級，請在每個要求中設定 HTTP 驗證憑證，例如使用 `w3lib.http.basic_auth_header` 函式將您的憑證轉換為可以指派給要求之 `Authorization` 標頭的值，而非使用 `HttpAuthMiddleware` 全域定義憑證。(CVE-2021-41125)

  - GitHub 存放庫 scrapy/scrapy 2.6.1 更早版本會將敏感資訊洩漏給未經授權的執行者。(CVE-2022-0577)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the 67fe5e5b-549f-4a2a-9834-53f60eaa415e advisory.

  - Exposure of Sensitive Information to an Unauthorized Actor in GitHub repository scrapy/scrapy prior to     2.6.1. (CVE-2022-0577)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Debian 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-2950 advisory.

  - Scrapy is a high-level web crawling and scraping framework for Python. If you use `HttpAuthMiddleware`     (i.e. the `http_user` and `http_pass` spider attributes) for HTTP authentication, all requests will expose     your credentials to the request target. This includes requests generated by Scrapy components, such as     `robots.txt` requests sent by Scrapy when the `ROBOTSTXT_OBEY` setting is set to `True`, or as requests     reached through redirects. Upgrade to Scrapy 2.5.1 and use the new `http_auth_domain` spider attribute to     control which domains are allowed to receive the configured HTTP authentication credentials. If you are     using Scrapy 1.8 or a lower version, and upgrading to Scrapy 2.5.1 is not an option, you may upgrade to     Scrapy 1.8.1 instead. If you cannot upgrade, set your HTTP authentication credentials on a per-request     basis, using for example the `w3lib.http.basic_auth_header` function to convert your credentials into a     value that you can assign to the `Authorization` header of your request, instead of defining your     credentials globally using `HttpAuthMiddleware`. (CVE-2021-41125)

  - Exposure of Sensitive Information to an Unauthorized Actor in GitHub repository scrapy/scrapy prior to     2.6.1. (CVE-2022-0577)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

远程 Debian 9 主机上安装的多个程序包受到 dla-2950 公告中提及的多个漏洞影响。

  - Scrapy 是用于 Python 的高级 Web 爬取和抓取框架。如果使用 `HttpAuthMiddleware`（即 `http_user` 和 `http_pass` Spider 属性）进行 HTTP 认证，则所有请求都将向请求目标公开您的凭据。这包括 Scrapy 组件生成的请求，例如当 `ROBOTSTXT_OBEY` 设置为 `True` 时，由 Scrapy 发送的 `robots.txt` 请求，或通过重定向到达的请求。升级到 Scrapy 2.5.1 并使用新的 `http_auth_domain` spider 属性来控制允许哪些域接收已配置的 HTTP 认证凭据。如果您使用的是 Scrapy 1.8 或更低版本，并且无法升级到 Scrapy 2.5.1 ，则可以改为升级到 Scrapy 1.8.1 。如果您无法升级，请在每个请求的基础上设置 HTTP 认证凭据，例如使用 `w3lib.http.basic_auth_header` 函数将凭据转换为可分配给请求 `Authorization` 标头的值，而不是使用 `HttpAuthMiddleware` 全局定义凭据。(CVE-2021-41125)

  - 在 GitHub 存储库 scrapy/scrapy 2.6.1 之前版本中，未授权的执行者将会看到敏感信息。(CVE-2022-0577)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

リモートの Debian 9 ホストには、dla-2950 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Scrapy は、Python 用の高レベル Web クロールおよびスクレイピングフレームワークです。HTTP 認証に「HttpAuthMiddleware」(つまり「http_user」および「http_pass」スパイダー属性) を使用する場合、すべてのリクエストで認証情報がリクエストターゲットに漏えいします。これには、「ROBOTSTXT_OBEY」設定が「True」に設定されているときに Scrapy によって送信された「robots.txt」リクエストや、リダイレクトを通じて到達したリクエストなど、Scrapy コンポーネントによって生成されたリクエストが含まれます。Scrapy 2.5.1 にアップグレードし、新しい「http_auth_domain」スパイダー属性を使用して、構成された HTTP 認証の認証情報の受信を許可するドメインを制御してください。Scrapy 1.8 以前のバージョンを使用しており、Scrapy 2.5.1 へのアップグレードが選択できない場合は、代わりに Scrapy 1.8.1 にアップグレードできます。アップグレードできない場合は、「HttpAuthMiddleware」を使用してグローバルに認証情報を定義する代わりに、たとえば「w3lib.http.basic_auth_header」関数を使用して認証情報をリクエストの「Authorization」ヘッダーに割り当てることができる値に変換することで、HTTP 認証認証情報をリクエストごとに設定します。(CVE-2021-41125)

  - 2.6.1 より前の GitHub リポジトリでの権限のないアクターへの機密情報の漏洩。(CVE-2022-0577)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、67fe5e5b-549f-4a2a-9834-53f60eaa415e のアドバイザリに記載されている脆弱性の影響を受けます。

  - 2.6.1 より前の GitHub リポジトリでの権限のないアクターへの機密情報の漏洩。(CVE-2022-0577)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
158996	Debian DLA-2950-1：python-scrapy - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/3/16	2023/11/6	medium
180377	FreeBSD : py-Scrapy -- exposure of sensitive information vulnerability (67fe5e5b-549f-4a2a-9834-53f60eaa415e)	Nessus	FreeBSD Local Security Checks	2023/8/31	2023/8/31	medium
158996	Debian DLA-2950-1 : python-scrapy - LTS security update	Nessus	Debian Local Security Checks	2022/3/16	2023/11/6	medium
158996	Debian DLA-2950-1：python-scrapy - LTS 安全更新	Nessus	Debian Local Security Checks	2022/3/16	2023/11/6	medium
158996	Debian DLA-2950-1 : python-scrapy - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/3/16	2023/11/6	medium
180377	FreeBSD : py-Scrapy -- 機密情報漏洩の脆弱性 (67fe5e5b-549f-4a2a-9834-53f60eaa415e)	Nessus	FreeBSD Local Security Checks	2023/8/31	2023/8/31	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium