因此，该软件受到 ALAS2023-2025-1045 公告中提及的多个漏洞影响。

    允许在提取目录外的文件中通过 filter=data 或 filter=tar 的文件权限 (chmod) 修改某些文件的元数据 (例如上次修改日期)。若使用 tarfile 模块提取使用 TarFile 的不可信 tar 存档您会受到此漏洞的影响。 extractall() 或 TarFile.extract() 使用 filter= 参数且具有 data 或 tar 值。请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor 了解更多信息。只有 Python 3.12 或更高版本会受到这些漏洞的影响较早的版本不包含提取过滤器功能。

    请注意对于 Python 3.14 或更高版本filter= 的默认值从无过滤更改为“数据”因此如果您依赖此新的默认行为则您的使用情况也会受到影响。

    请注意这些漏洞不会对源发行版本的安装产生重大影响因为源发行版本已允许在构建过程中执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。 (CVE-2024-12718)

    允许忽略提取过滤器、允许符号链接目标指向目标目录之外以及修改某些文件元数据。

    如果使用 tarfile 模块通过使用值为 data 或 tar 的 filter= 参数的 TarFile.extractall() 或 TarFile.extract() 来提取不受信任的 tar 存档则您会受到此漏洞的影响。请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor 了解更多信息。

    请注意对于 Python 3.14 或更高版本filter= 的默认值从无过滤更改为“数据”因此如果您依赖此新的默认行为则您的使用情况也会受到影响。

    请注意这些漏洞不会对源发行版本的安装产生重大影响因为源发行版本已允许在构建过程中执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。 (CVE-2025-4138)

    允许忽略提取过滤器、允许符号链接目标指向目标目录之外以及修改某些文件元数据。

    如果使用 tarfile 模块通过使用值为 data 或 tar 的 filter= 参数的 TarFile.extractall() 或 TarFile.extract() 来提取不受信任的 tar 存档则您会受到此漏洞的影响。请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor 了解更多信息。

    请注意对于 Python 3.14 或更高版本filter= 的默认值从无过滤更改为“数据”因此如果您依赖此新的默认行为则您的使用情况也会受到影响。

    请注意这些漏洞不会对源发行版本的安装产生重大影响因为源发行版本已允许在构建过程中执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。 (CVE-2025-4330)

    当 TarFile.errorlevel = 0 并通过筛选器提取时记录的行为是跳过且不提取任何筛选的成员。然而受影响版本中 TarFile.errorlevel = 0 的实际行为仍是提取成员而不是跳过该成员。 (CVE-2025-4435)

    在使用 filter=data 提取期间允许在提取目录外部写入任意文件系统。

    如果使用 tarfile 模块通过使用值为 data 或 tar 的 filter= 参数的 TarFile.extractall() 或 TarFile.extract() 来提取不受信任的 tar 存档则您会受到此漏洞的影响。请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor 了解更多信息。只有 Python 3.12 或更高版本会受到这些漏洞的影响较早的版本不包含提取过滤器功能。

    请注意对于 Python 3.14 或更高版本filter= 的默认值从无过滤更改为“数据”因此如果您依赖此新的默认行为则您的使用情况也会受到影响。

    请注意这些漏洞不会对源发行版本的安装产生重大影响因为源发行版本已允许在构建过程中执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。 (CVE-2025-4517)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2025:9918 公告中提及的多个漏洞影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * cpython当 errorlevel=0 时Tarfile 提取已筛选的成员 (CVE-2025-4435)

    * cpython绕过提取过滤器以修改提取目录之外的文件元数据 (CVE-2024-12718)

    * cpython绕过提取过滤器用于提取目录外部的链接 (CVE-2025-4330)

    * pythoncpython通过 tarfile realpath 溢出进行任意写入CVE-2025-4517

    * cpythonpython绕过提取过滤器以创建提取目录外部任意目标的符号链接 (CVE-2025-4138)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:10128 公告中提及的多个漏洞的影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * cpython：当 errorlevel=0 时，Tarfile 会提取已过滤成员 (CVE-2025-4435)

    * cpython：绕过提取过滤器以修改提取目录外的文件元数据 (CVE-2024-12718)

    * cpython：绕过提取过滤器以链接外部提取目录 (CVE-2025-4330)

    * python：cpython：通过 tarfile realpath 溢出实现任意写入 (CVE-2025-4517)

    * cpython：python：绕过提取过滤器，为提取目录外的任意目标创建符号链接 (CVE-2025-4138)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机上安装的程序包受到 ALSA-2025:10128 公告中提及的多个漏洞影响。

    * cpython：当 errorlevel=0 时，Tarfile 会提取已过滤成员 (CVE-2025-4435)
      * cpython：绕过提取过滤器以修改提取目录外的文件元数据 (CVE-2024-12718)
      * cpython：绕过提取过滤器以链接外部提取目录 (CVE-2025-4330)
      * python：cpython：通过 tarfile realpath 溢出实现任意写入 (CVE-2025-4517)
      * cpython：python：绕过提取过滤器，为提取目录外的任意目标创建符号链接 (CVE-2025-4138)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2025-10189 公告中提及的多个漏洞影响。

    - 适用于 CVE-2025-4517、 CVE-2025-4330、 CVE-2025-4138、 CVE-2024-12718、 CVE-2025-4435的安全补丁

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上存在安装的程序包该程序包受到公告 ALSA-2025:10189 中提及的多个漏洞的影响。

    * cpython当 errorlevel=0 时Tarfile 提取已筛选的成员 (CVE-2025-4435)
      * cpython绕过提取过滤器以修改提取目录之外的文件元数据 (CVE-2024-12718)
      * cpython绕过提取过滤器用于提取目录外部的链接 (CVE-2025-4330)
      * pythoncpython通过 tarfile realpath 溢出进行任意写入CVE-2025-4517
      * cpythonpython绕过提取过滤器以创建指向提取目录外部的任意目标的符号链接 (CVE-2025-4138)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:10602 公告中提及的多个漏洞的影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * cpython：当 errorlevel=0 时，Tarfile 会提取已过滤成员 (CVE-2025-4435)

    * cpython：python：绕过提取过滤器以修改提取目录外的文件元数据 (CVE-2024-12718)

    * cpython：python：绕过提取过滤器以链接外部提取目录 (CVE-2025-4330)

    * python：cpython：通过 tarfile realpath 溢出实现任意写入 (CVE-2025-4517)

    * cpython：python：绕过提取过滤器，为提取目录外的任意目标创建符号链接 (CVE-2025-4138)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python3 版本低于 3.12.11/3.9.23。因此，如公告 SSA:2025-155-02 所述，其会受到多个漏洞影响。

    为 Slackware 15.0 和当前版本提供了用于修复安全问题的新 python3 程序包。

Tenable 已直接从 python3 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AHV 版本低于 AHV-10.0.1.3。因此如公告 NXSA-AHV-10.0.1.3 所述受到多个漏洞的影响。

  - 已通过改进内存处理解决此问题。此问题已在 macOS Ventura 13.6、tvOS 17、iOS 16.7 和 iPadOS 16.7、macOS Monterey 12.7、watchOS 10、iOS 17 和 iPadOS 17、macOS Sonoma 14 中修复。
    处理 Web 内容可能会泄露敏感信息。(CVE-2023-40403)

  - 在低于 1.9.17p1 的 Sudo 与指定了既不是当前主机也不是 ALL 的主机的 sudoers 文件一起使用时允许列出的用户在非预期计算机上执行命令。 (CVE-2025-32462)

  - 在 linux-pam 中发现一个缺陷。模块 pam_namespace 可能在没有适当保护的情况下访问用户控制的路径，从而允许本地用户通过多种符号链接攻击和争用条件将其权限提升到 root。(CVE-2025-6020)

  - 允许使用提取目录外部文件的 filter=data 修改某些文件元数据例如上次修改时间或使用 filter=tar 修改某些文件权限 (chmod)。如果通过 tarfile 模块使用带有“data”或“tar”值的 filter= 参数，通过 TarFile.extractall() 或 TarFile.extract() 提取不受信任的 tar 存档，则会受到此漏洞的影响。有关更多信息请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter 。这些漏洞仅影响 Python 3.12 或更高版本，较早版本不包含提取过滤器功能。请注意，对于 Python 3.14 或更高版本，filter= 的默认值从“no filtering”更改为“data”。因此，如果您依赖此全新默认行为，则您的使用也会受到影响。请注意，这些漏洞都不会明显影响 tar 存档的源发行版本的安装，因为源发行版本在构建进程期间便已允许执行任意代码。但是，在评估源发行版本时，请务必避免安装带有可疑链接的源发行版本。(CVE-2024-12718)

  - 允许忽略提取过滤器、允许符号链接目标指向目标目录之外以及修改某些文件元数据。如果通过 tarfile 模块使用带有“data”或“tar”值的 filter= 参数，通过 TarFile.extractall() 或 TarFile.extract() 提取不受信任的 tar 存档，则会受到此漏洞的影响。有关更多信息请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter 。请注意，对于 Python 3.14 或更高版本，filter= 的默认值从“no filtering”更改为“data”。因此，如果您依赖此全新默认行为，则您的使用也会受到影响。请注意，这些漏洞都不会明显影响 tar 存档的源发行版本的安装，因为源发行版本在构建进程期间便已允许执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。CVE-2025-4138、 CVE-2025-4330

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AHV 版本低于 AHV-10.3.1。因此如公告 NXSA-AHV-10.3.1 所述受到多个漏洞的影响。

  - 在 SQLite 3.50.2 之前的版本中存在一个漏洞，即聚合项的数量可能超过可用的列数。这可导致从内存损坏问题。我们建议升级到 3.50.2 或更高版本。(CVE-2025-6965)

  - 1.9.2 之前的 LZ4 的 LZ4_write32 中存在基于堆的缓冲区溢出（与 LZ4_compress_destSize 有关），可影响使用大型输入调用 LZ4_compress_fast 的应用程序。此问题也会导致数据损坏。注意据供应商声明仅有 API 的少数特定/不常见用法存在风险。
    (CVE-2019-17543)

  - 在 libxml2 中发现释放后使用漏洞。在某些情况下，如果 XML schematron 具有 <sch:name path=.../> 方案元素，则解析 XPath 元素时会发生此问题。此缺陷允许恶意执行者构建恶意 XML 文档用作 libxml 的输入，导致使用 libxml 的程序崩溃，或可能出现其他不明行为。(CVE-2025-49794)

  - 在 libxml2 中发现一个漏洞。处理输入 XML 文件中的某些 sch:name 元素可触发内存损坏问题。此缺陷允许攻击者构建可造成 libxml 崩溃的恶意 XML 输入文件，由于内存中的敏感数据损坏，进而可导致拒绝服务或可能出现其他不明行为。(CVE-2025-49796)

  - 在 libxml2 的 xmlBuildQName 函数中发现一个缺陷，其中缓冲区大小计算中的整数溢出问题可导致基于堆栈的缓冲区溢出。在处理构建的输入时，此问题可导致内存损坏或拒绝服务。(CVE-2025-6021)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Database Server 版本受到 2025 年 10 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 SQLcl (jgit) 组件中存在漏洞。支持的版本中受影响的是 23.4-23.9。利用此漏洞的难度较大，拥有“有效帐户”特权的低权限攻击者可通过 HTTP 进行网络访问，从而破坏 SQLcl (jgit)。除攻击者以外的他人进行交互是实现成功攻击的必要条件。若成功攻击此漏洞，则可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 SQLcl (jgit) 数据。
    (CVE-2025-4949)

  - Oracle Database Server 的 RDBMS (Python) 组件中的漏洞。支持的版本中受影响的是 21.3-21.19 和 23.4-23.9。利用此漏洞的难度较小，具有“经过身份验证的用户”特权且可登录 RDBMS (Python) 执行所在基础设施的低权限攻击者可借此破坏 RDBMS (Python)。除攻击者以外的他人进行交互是实现成功攻击的必要条件。若成功攻击此漏洞，则可导致接管 RDBMS (Python)。
    CVE-2024-12254、CVE-2024-12718、CVE-2024-6923、CVE-2024-8088、CVE-2025-1795、CVE-2025-4138、CVE-2025-4330、CVE-2025-4435、CVE-2025-4517）

  - Oracle Database Server 的 Java VM 组件中存在漏洞。支持的版本中受影响的是 19.3-19.28、21.3-21.19 和 23.4-23.9。利用此漏洞的难度较大，未经身份验证的攻击者可通过 Oracle Net 进行网络访问，从而破坏 Java VM。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Java VM 可访问的数据。(CVE-2025-61881)

  - Oracle Database Server 的 Portable Clusterware 组件中存在漏洞。支持的版本中受影响的是 19.3-19.28、21.3-21.19 和 23.4-23.9。利用此漏洞的难度较小，未经身份验证的攻击者可通过 Bonjour 进行网络访问，从而破坏 Portable Clusterware。虽然漏洞位于 Portable Clusterware 中，但攻击可能对其他产品造成重大影响 (范围更改)。若成功攻击此漏洞，则可导致对 Portable Clusterware 可访问数据子集进行未经授权的读取访问。(CVE-2025-53047)

  - Oracle Database Server 的 Unified Audit 组件中存在的漏洞。支持的版本中受影响的是 23.4-23.9。利用此漏洞的难度较小，拥有 DBA 特权并通过 Oracle Net 访问网络的高权限攻击者可借此破坏 Unified Audit。若成功攻击此漏洞，则可导致在未经授权的情况下更新、插入或删除某些 Unified Audit 可访问数据的访问权限。(CVE-2025-61749)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
240311	Amazon Linux 2023：python3.11、python3.11-devel、python3.11-idle (ALAS2023-2025-1045)	Nessus	Amazon Linux Local Security Checks	2025/6/23	2025/7/8	critical
240974	RHEL 9：python3.11 (RHSA-2025:9918)	Nessus	Red Hat Local Security Checks	2025/6/30	2025/6/30	critical
241143	RHEL 8：python3 (RHSA-2025:10128)	Nessus	Red Hat Local Security Checks	2025/7/2	2025/7/2	critical
241162	AlmaLinux 8：python3 (ALSA-2025:10128)	Nessus	Alma Linux Local Security Checks	2025/7/2	2025/7/2	critical
241207	Oracle Linux 9：python3.12 (ELSA-2025-10189)	Nessus	Oracle Linux Local Security Checks	2025/7/2	2025/7/2	critical
241250	AlmaLinux 9python3.12 (ALSA-2025:10189)	Nessus	Alma Linux Local Security Checks	2025/7/3	2025/7/3	critical
241537	RHEL 8：python3 (RHSA-2025:10602)	Nessus	Red Hat Local Security Checks	2025/7/8	2025/7/8	critical
237769	Slackware Linux 15.0 / 当前 python3 多个漏洞 (SSA:2025-155-02)	Nessus	Slackware Local Security Checks	2025/6/4	2025/7/8	critical
258029	Nutanix AHV 多个漏洞 (NXSA-AHV-10.0.1.3)	Nessus	Misc.	2025/8/27	2025/8/27	critical
269975	Nutanix AHV 多个漏洞 (NXSA-AHV-10.3.1)	Nessus	Misc.	2025/10/10	2025/10/10	high
271256	Oracle Database Server (2025 年 10 月 CPU)	Nessus	Databases	2025/10/23	2025/10/30	high

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

high

high