遠端 Redhat Enterprise Linux 8 主機安裝了一個或多個受到多個弱點影響的套件，供應商已確認這些弱點不會得到修補。

  - python：tarfile 模組目錄遊走 (CVE-2007-4559)

  - python：RecursionError：呼叫 Python 物件時超出遞回深度上限 (CVE-2023-36632)

  - Python 3.7.2 之前版本中的 Lib/zipfile.py 允許遠端攻擊者透過 ZIP 炸彈造成拒絕服務 (資源消耗)。(CVE-2019-9674)

請注意，Nessus 並未測試這些問題，而是依據套件管理員已安裝套件的報告。

據發現，Python 文件有誤導資訊。錯誤假設此資訊可能造成安全性問題。此問題僅影響 Ubuntu 12.04 ESM、Ubuntu 14.04 ESM、Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。
(CVE-2019-17514) 據發現，Python 未正確處理某些 TAR 封存。攻擊者可能會利用此問題造成拒絕服務。(CVE-2019-20907) 據發現，某些 ZIP 檔案處理錯誤。攻擊者可能利用此問題造成拒絕服務。此問題僅影響 Ubuntu 12.04 ESM、Ubuntu 14.04 ESM、Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2019-9674) 據發現，Python 未正確處理某些 IP 值。攻擊者可能利用此問題造成拒絕服務。此問題只會影響 Ubuntu 14.04 ESM、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2020-14422)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 6 主機安裝了一個弱點影響的套件，供應商已確認這個弱點不會得到修補。

  - python：Lib/zipfile.py 中的巢狀 zip 檔案 (Zip 炸彈) 弱點 (CVE-2019-9674)

請注意，Nessus 並未測試此問題，而是依據套件管理員提供的「已安裝此套件」的報告來作出判斷。

遠端 Redhat Enterprise Linux 7 主機安裝了一個或多個受到多個弱點影響的套件，供應商已確認這些弱點不會得到修補。

  - python：urllib：HTTP 用戶端可能在 100 Continue 回應中發生無限迴圈 (CVE-2021-3737)

  - Python 3.7.2 之前版本中的 Lib/zipfile.py 允許遠端攻擊者透過 ZIP 炸彈造成拒絕服務 (資源消耗)。(CVE-2019-9674)

  - 在 Python 3.8.3 及之前版本中，Lib/ipaddress.py 會錯誤計算 IPv4Interface 和 IPv6Interface 類別中的雜湊值，如果應用程式受到包含 IPv4Interface 或 IPv6Interface 物件的字典效能影響，則遠端攻擊者可藉此造成拒絕服務，並且此攻擊者還可造成許多字典項目被建立。修正版本：v3.5.10、v3.5.10rc1；v3.6.12；
    v3.7.9；v3.8.4、v3.8.4rc1、v3.8.5、v3.8.6、v3.8.6rc1；v3.9.0、v3.9.0b4、v3.9.0b5、v3.9.0rc1、v3.9.0rc2。
    (CVE-2020-14422)

請注意，Nessus 並未測試這些問題，而是依據套件管理員已安裝套件的報告。

遠端 Ubuntu 18.04 LTS/20.04 LTS 主機上安裝的套件受到 USN-4754-3 公告中所提及的多個弱點影響。

  - Python 3.7.2 之前版本中的 Lib/zipfile.py 允許遠端攻擊者透過 ZIP 炸彈造成拒絕服務 (資源消耗)。(CVE-2019-9674)

  - 在 Python 2 和 3 文件 2016 之前版本中，library/glob.html 對於是否發生排序可能會有誤導的資訊，不可複製的 cancer-research 結果即為一例。注意：本文件的影響跨應用領域，因此其他位置的與安全相關的程式碼可能會受到影響。這個問題不是 Python 的實作錯誤，也沒有 NMR 研究人員特別依賴 library/glob.html 的任何報告。換句話說，因為舊版文件說明「根據 Unix Shell 使用的規則，尋找與指定模式符合的所有路徑名稱」，因此可能會錯誤地推斷出 glob.glob 也會發生在 Unix Shell 中發生的排序。在較新的 Willoughby nmr-data_compilation-p2.py 和 nmr-data_compilation-p3.py 版本中有因應措施，其會直接呼叫sort()。(CVE-2019-17514)

  -在 Python 3.8.3 及之前版本的 Lib/tarfile.py 中，由於 _proc_pax 缺少標頭驗證，攻擊者可以特製 TAR 封存，在 tarfile.open 開啟此封存時造成無限迴圈。(CVE-2019-20907)

  - Python 2.7 至 2.7.17、3.5 至 3.5.9、3.6 至 3.6.10、3.7 至 3.7.6以及 3.8 至 3.8.1 允許 HTTP 伺服器對用戶端發動規則運算式拒絕服務 (ReDoS)攻擊，這是因為 urllib.request.AbstractBasicAuthHandler 會發生災難性回溯。(CVE-2020-8492)

  -  在 Python 3.x 的 3.5.10 之前版本、3.6.x 的 3.6.12 之前版本、3.7.x 的 3.7.9 之前版本以及 3.8.x 的 3.8.5 之前版本中，如果攻擊者控制 HTTP 要求方法，http.client 會允許 CRLF 插入，在 HTTPConnection. 要求的第一個引數中插入 CR 和 LF 控製字元即為一例。(CVE-2020-26116)

  - 在 Python 3 3.9.0 之前版本中，Lib/test/multibytecodec_support.py CJK 轉碼器測試會針對透過 HTTP 擷取的內容呼叫 eval()。(CVE-2020-27619)

  - 在 Python 3.x 至 3.9.1 版中， _ctypes/callproc.c 的 PyCArg_repr 中存在緩衝區溢位問題，可能導致在某些將浮點數接受為未受信任輸入的 Python 應用程式中執行遠端程式碼， c_double.from_param 的 1e300 引數即為一例。這是未安全使用 sprintf 所致。(CVE-2021-3177)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 5 主機上安裝的一或多個套件受到一個弱點影響，廠商已確認不會修補此弱點。

  - python：Lib/zipfile.py 中的巢狀 zip 檔案 (Zip 炸彈) 弱點 (CVE-2019-9674)

請注意，Nessus 並未測試此問題，而是依據套件管理員提供的「已安裝此套件」的報告來作出判斷。

遠端 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 23.10 主機上安裝的多個套件受到 USN-6891-1 公告中提及的多個弱點影響。

    據發現，Python 未正確處理某些輸入。攻擊者可能利用此問題執行任意程式碼。此問題僅影響 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2015-20107)

    據發現，Python 未正確使用容易受到災難性回溯影響的規則運算式。遠端攻擊者可能利用此問題引發拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2018-1060、CVE-2018-1061)

    據發現，Python 無法初始化 Expat 的雜湊 salt。遠端攻擊者可能會利用此問題，造成雜湊衝突，進而導致拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2018-14647)

    據發現，Python 未正確處理某些 pickle 檔案。攻擊者可能會利用此問題耗盡記憶體，進而導致拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。
    (CVE-2018-20406)

    據發現，Python 未在處理 cookie 時正確驗證網域。攻擊者可能誘騙 Python 將 cookie 傳送至錯誤網域。這個問題只會影響 Ubuntu 14.04 LTS。
    (CVE-2018-20852)

    Jonathan Birch 和 Panayiotis Panayiotou 發現，Python 未在 NFKC 正規化期間正確處理 Unicode 編碼。攻擊者可能會利用此問題取得敏感資訊。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2019-9636、CVE-2019-10160)

    據發現，Python 未正確剖析某些電子郵件地址。遠端攻擊者可能利用此問題，誘騙 Python 應用程式接受應該遭到拒絕的電子郵件地址。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2019-16056)

    據發現，Python 文件 XML-RPC 伺服器未正確處理某些欄位。遠端攻擊者可利用此問題發動跨網站指令碼 (XSS) 攻擊。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2019-16935)

    據發現，Python 文件有誤導資訊。錯誤假設此資訊可能造成安全性問題。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2019-17514)

    據發現，Python 未正確將特定字元從要求中移除。遠端攻擊者可利用此問題執行 CRLF 插入。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2019-18348)

    據發現，Python 未正確處理某些 TAR 封存。攻擊者可能利用此問題造成拒絕服務。此問題僅影響 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2019-20907)

    Colin Read 和 Nicolas Edet 發現 Python 未正確處理某些 X509 憑證的剖析作業。
    攻擊者可能利用此問題造成 Python 損毀，進而導致拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2019-5010)

    據發現，系統未正確處理某些 ZIP 檔案。攻擊者可能利用此問題造成拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2019-9674)

    據發現，Python 未正確處理某些 url。遠端攻擊者可能會利用此問題發動 CRLF 插入攻擊。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2019-9740、CVE-2019-9947)

    Sihoon Lee 發現，Python 未正確處理 local_file: scheme。遠端攻擊者可能利用此問題繞過封鎖清單機制。這個問題只會影響 Ubuntu 14.04 LTS。
    (CVE-2019-9948)

    據發現，Python 未正確處理某些 IP 值。攻擊者可能利用此問題造成拒絕服務。此問題僅影響 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2020-14422)

    據發現，Python 未正確處理某些字元序列。遠端攻擊者可能會利用此問題發動 CRLF 插入攻擊。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2020-26116)

    據發現，Python 未正確處理某些輸入。攻擊者可能利用此問題執行任意程式碼，或造成拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。
    (CVE-2020-27619, CVE-2021-3177)

    據發現，Python 未正確處理某些 HTTP 要求。攻擊者可能利用此問題造成拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2020-8492)

    據發現，Python stdlib ipaddress API 未正確處理八進位字串。遠端攻擊者可能利用此問題發動多種攻擊，包括繞過特定存取限制。這個問題只會影響 Ubuntu 18.04 LTS。(CVE-2021-29921)

    David Schwrer 發現 Python 未正確處理某些輸入。攻擊者可能利用此問題洩漏敏感資訊。這個問題只會影響 Ubuntu 18.04 LTS。(CVE-2021-3426)

    據發現，Python 未正確處理某些 RCF。攻擊者可能利用此問題造成拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2021-3733)

    據發現，Python 未正確處理某些伺服器回應。攻擊者可能利用此問題造成拒絕服務。這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2021-3737)

    據發現，Python 未正確處理某些 FTP 要求。攻擊者可能利用此問題洩漏敏感資訊。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2021-4189)

    據發現，Python 未正確處理某些輸入。攻擊者可能利用此問題執行任意程式碼。此問題僅影響 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。
    (CVE-2022-0391)

    Devin Jeanpierre 發現，當系統正在使用多處理模組時，Python 未正確處理通訊端。本機攻擊者可能利用此問題執行任意程式碼，並提升權限。這個問題只會影響 Ubuntu 22.04 LTS。(CVE-2022-42919)

    據發現，Python 未正確處理某些輸入。如果使用者或自動化系統遭誘騙而開啟特製的輸入，遠端攻擊者可能利用此問題導致拒絕服務。此問題只影響 Ubuntu 14.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 22.04 LTS。
    (CVE-2022-45061, CVE-2023-24329)

    據發現，Python 未正確處理某些指令碼。攻擊者可能利用此問題執行任意程式碼或造成當機。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-48560)

    據發現，Python 未正確處理某些 plist 檔案。如果使用者或自動化系統遭誘騙而處理特製的 plist 檔案，攻擊者可能利用此問題消耗資源，進而導致拒絕服務。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-48564)

    據發現，Python 未正確處理 plist 檔案中的 XML 實體宣告。攻擊者可能利用此弱點執行 XML 外部實體 (XXE) 插入，導致拒絕服務或資訊洩漏。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-48565)

    據發現，Python 未正確提供密碼編譯作業的常數時間處理。攻擊者可能會利用此問題執行定時攻擊並復原敏感資訊。此問題僅影響了 Ubuntu 14.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-48566)

    據發現，Python 執行個體 ssl.SSLSocket 容易受到 TLS 交握繞過影響。
    攻擊者可能利用此問題，造成應用程式將 TLS 交握前收到的未經驗證資料，視為 TLS 交握後經驗證的資料。此問題只影響 Ubuntu 14.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2023-40217)

    據發現，Python 在標準化路徑名稱時未正確處理 null 位元組。攻擊者可能會利用此問題繞過特定檔案名稱檢查。這個問題只會影響 Ubuntu 22.04 LTS。
    (CVE-2023-41105)

    據發現，Python 未正確處理某些參數的權限。攻擊者可能利用此問題，在啟動新處理程序之前，維護原始處理程序的群組。此問題只會影響 Ubuntu 23.10。(CVE-2023-6507)

    據發現，Python 未正確處理 temp 檔案中的符號連結。攻擊者可能會利用此問題修改檔案的權限。此問題僅影響了 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 23.10。(CVE-2023-6597)

    據發現，Python 未正確處理某些特製的 zip 檔案。攻擊者可能利用此問題造成程式損毀，進而導致拒絕服務。(CVE-2024-0450)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
198333	RHEL 8：python (未修補的弱點)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/7/12	high
138872	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Python 弱點 (USN-4428-1)	Nessus	Ubuntu Local Security Checks	2020/7/23	2024/8/27	high
202275	RHEL 6：python (未修補的弱點)	Nessus	Red Hat Local Security Checks	2024/7/12	2024/7/12	high
202276	RHEL 7：python (未修補的弱點)	Nessus	Red Hat Local Security Checks	2024/7/12	2024/7/12	high
148008	Ubuntu 18.04 LTS / 20.04 LTS：Python 弱點 (USN-4754-3)	Nessus	Ubuntu Local Security Checks	2021/3/23	2024/8/28	critical
202283	RHEL 5：python (未修補的弱點)	Nessus	Red Hat Local Security Checks	2024/7/12	2024/7/12	high
202187	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 23.10：Python 弱點 (USN-6891-1)	Nessus	Ubuntu Local Security Checks	2024/7/11	2024/8/27	critical

偵測

搜尋 Plugin

high

high

high

high

critical

high

critical