遠端 Oracle Linux 8 主機上有一個套件受到 ELSA-2021-1608 公告中提及的多個弱點影響。

  - RSA 解密 API 中的 python-cryptography 3.2 容易受到 Bleichenbacher 定時攻擊，攻擊者可透過定時處理有效的 PKCS#1 v1.5 密碼文字來發動攻擊。(CVE-2020-25659)

  - 在 Python 的密碼編譯套件 3.3.2 之前版本中，用於對稱加密多 GB 值的特定更新呼叫序列可導致整數溢位和緩衝區溢位問題，Fernet 類別即為一例。(CVE-2020-36242)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 AlmaLinux 8 主機已安裝一個受到 ALSA-2021:1608 公告中提及的多個弱點影響的套件。

  - RSA 解密 API 中的 python-cryptography 3.2 容易受到 Bleichenbacher 定時攻擊，攻擊者可透過定時處理有效的 PKCS#1 v1.5 密碼文字來發動攻擊。(CVE-2020-25659)

  - 在 Python 的密碼編譯套件 3.3.2 之前版本中，用於對稱加密多 GB 值的特定更新呼叫序列可導致整數溢位和緩衝區溢位問題，Fernet 類別即為一例。(CVE-2020-36242)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Python 的密碼編譯套件 3.3.2 之前版本中，用於對稱加密多 GB 值的特定更新呼叫序列可導致整數溢位和緩衝區溢位問題，Fernet 類別即為一例。(CVE-2020-36242)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Rocky Linux 8 主機已安裝受到多個弱點影響的套件如 RLSA-2021:1608 公告中所提及。

  - RSA 解密 API 中的 python-cryptography 3.2 容易受到 Bleichenbacher 定時攻擊，攻擊者可透過定時處理有效的 PKCS#1 v1.5 密碼文字來發動攻擊。(CVE-2020-25659)

  - 在 Python 的密碼編譯套件 3.3.2 之前版本中，用於對稱加密多 GB 值的特定更新呼叫序列可導致整數溢位和緩衝區溢位問題，Fernet 類別即為一例。(CVE-2020-36242)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 2239 公告中提及的多個弱點影響。

  - python-cryptography：針對 RSA 解密的 Bleichenbacher timing oracle 攻擊 (CVE-2020-25659)

  - krb5: 透過 lib/krb5/asn.1/asn1_encode.c 中以 ASN.1 方式編碼的 Kerberos 訊息可造成無限制遞回，進而可能導致 DoS (CVE-2020-28196)

  - python-cryptography：對稱加密的大量輸入可觸發整數溢位問題，進而導致緩衝區溢位 (CVE-2020-36242)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202407-06 中所述的弱點影響 (cryptography：多個弱點)

    在 cryptography 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 1608 公告中提及的多個弱點影響。

  - python-cryptography：針對 RSA 解密的 Bleichenbacher timing oracle 攻擊 (CVE-2020-25659)

  - python-cryptography：對稱加密的大量輸入可觸發整數溢位問題，進而導致緩衝區溢位 (CVE-2020-36242)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2021: 1608 公告中提及的多個弱點影響。

  - python-cryptography：針對 RSA 解密的 bleichenbacher timing oracle 攻擊 (CVE-2020-25659)

  - python-cryptography：以對稱方式加密非常大的承載時，特定的 update() 呼叫序列可導致整數溢位，並造成緩衝區溢位 (CVE-2020-36242)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021:3254 公告中提及的多個弱點影響。

    Python 是經過解譯的互動式物件導向程式設計語言，包括模組、類別、例外狀況、非常高階的動態資料類型，以及動態輸入。Python 支援許多系統呼叫和程式庫的介面，以及多種 Window 系統的介面。

    下列套件已升級至更新的上游版本rh-python38-python (3.8.11)。
    (BZ#1969523)

    安全性修正：

    * python-cryptography針對 RSA 解密的 Bleichenbacher 定時 oracle 攻擊 (CVE-2020-25659)

    * python在測試套件中對透過 HTTP 擷取的資料不安全地使用 eval() (CVE-2020-27619)

    * python-lxmlmXSS這是因為使用不當剖析器所導致 (CVE-2020-27783)

    * python-jinja2sub-pattern 造成的 ReDoS 弱點 (CVE-2020-28493)

    * python-cryptography對稱加密的大量輸入可觸發整數溢位進而導致緩衝區溢位 (CVE-2020-36242)

    * python_ctypes/callproc.c 的 PyCArg_repr 中發生堆疊型緩衝區溢位 (CVE-2021-3177)

    * python透過 pydoc 造成資訊洩漏 (CVE-2021-3426)

    * python-babel相對路徑遊走允許攻擊者載入任意地區設定檔案及執行任意程式碼 (CVE-2021-20095)

    * python在查詢參數中使用分號進而造成 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 的 Web 快取毒害 (CVE-2021-23336)

    * python-lxmlformaction HTML5 屬性的遺漏輸入清理可能導致 XSS (CVE-2021-28957)

    * python-ipaddress八進位字串的不當輸入驗證 (CVE-2021-29921)

    * python-urllib3URL 的授權單位部分剖析中發生 ReDoS (CVE-2021-33503)

    * python-pip不正確處理 git 參照中的 unicode 分隔符號 (CVE-2021-3572)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    其他資訊

    * Python urllib 剖析函式之預設分隔符號的變更

    為了減輕 Python urllib 程式庫中的 Web Cache Poisoning CVE-2021-23336 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 函式的預設分隔符號從 & 符號 (&) 和分號 (;) 變更為只有 & 符號。

    預設分隔符號的變更可能造成回溯不相容因此 Red Hat 會提供一種在 Python 套件 (已變更預設分隔符號) 中設定行為的方法。此外如果受影響的 urllib 剖析函式偵測到客戶應用程式受到變更影響則會發出警告。

    如需詳細資訊請參閱可從〈參照〉一節連結的知識庫文章「Python urllib 程式庫中 Web 快取毒害的減輕措施」(CVE-2021-23336)。

    * Python ipaddress 模組不再允許 IPv4 位址中有前置零

    為減輕 CVE-2021-29921的影響Python ipaddress 模組現在會拒絕前導零的 IPv4 位址並顯示 AddressValueError: leader zero is not allowed 錯誤。

    依賴先前行為的客戶可以預先處理其 IPv4 位址輸入以去除開頭的零。如需詳細資訊請參閱 Red Hat Software Collections 3.7 版本資訊。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
149969	Oracle Linux 8：python-cryptography (ELSA-2021-1608)	Nessus	Oracle Linux Local Security Checks	2021/5/26	2024/10/24	critical
157515	AlmaLinux 8python-cryptography (ALSA-2021:1608)	Nessus	Alma Linux Local Security Checks	2022/2/9	2023/11/13	critical
230242	Linux Distros 未修補弱點：CVE-2020-36242	Nessus	Misc.	2025/3/5	2025/10/27	critical
184588	Rocky Linux 8python-cryptography (RLSA-2021:1608)	Nessus	Rocky Linux Local Security Checks	2023/11/6	2023/11/6	critical
165137	RHEL 8：Red Hat 虛擬化主機安全性更新 [ovirt-4.4.6] (中等) (RHSA-2021: 2239)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/11/7	critical
201182	GLSA-202407-06：cryptography：多個弱點	Nessus	Gentoo Local Security Checks	2024/7/1	2024/7/1	critical
149686	RHEL 8：python-cryptography (RHSA-2021: 1608)	Nessus	Red Hat Local Security Checks	2021/5/19	2024/11/7	critical
149778	CentOS 8：python-cryptography (CESA-2021: 1608)	Nessus	CentOS Local Security Checks	2021/5/19	2023/12/29	critical
152781	RHEL 7rh-python38 (RHSA-2021:3254)	Nessus	Red Hat Local Security Checks	2021/8/24	2025/9/10	high

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

high