遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2021: 4150 公告中提及的多個弱點影響。

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python-pygments：多個語彙分析器中的 ReDoS (CVE-2021-27291)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 4151 公告中提及的多個弱點影響。

  - python：對測試套件中透過 HTTP 擷取的資料以不安全的方式使用 eval() (CVE-2020-27619)

  - python-jinja2：urlize 篩選器中的 ReDoS 弱點 (CVE-2020-28493)

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python：透過在查詢參數中使用分號，經由 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 造成 Web 快取毒害 (CVE-2021-23336)

  - python-pygments：多個語彙分析器中的 ReDoS (CVE-2021-27291)

  - python-lxml：遺漏對 formaction HTML5 屬性的輸入清理可能導致 XSS (CVE-2021-28957)

  - python-babel：相對路徑遊走弱點允許攻擊者載入任意地區設定檔案並執行任意程式碼 (CVE-2021-42771)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 4150 公告中提及的多個弱點影響。

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python-pygments：多個語彙分析器中的 ReDoS (CVE-2021-27291)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機上有一個套件受到 ELSA-2021-9553 公告中提及的多個弱點影響。

  - 在 Pygments 1.5 至 2.7.3 版中，SMLLexer 在突出顯示標準 ML (SML) 來源檔案的語法時，可能會因存在無限迴圈而導致拒絕服務，僅包含例外關鍵字的輸入即為一例。 (CVE-2021-20270)

  - 在 pygments 1.1+ 中，用於剖析程式設計語言的 lexer 高度依賴規則運算式，此問題已在 2.7.4 版中修正。部分規則運算式具有指數或三次方最壞情況複雜度，且容易受到 ReDoS 弱點影響。攻擊者可以透過特製的惡意輸入造成拒絕服務。
    (CVE-2021-27291)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-4151 公告中提及的多個弱點影響。

  - 在 Python 3 3.9.0 之前版本中，Lib/test/multibytecodec_support.py CJK 轉碼器測試會針對透過 HTTP 擷取的內容呼叫 eval()。(CVE-2020-27619)

  - python/cpython 套件 0 至 3.6.13 之前版本、3.7.0 至 3.7.10 之前版本、3.8.0 至 3.8.8 之前版本、3.9.0 至 3.9.2 之前版本容易受到 Web 快取毒害攻擊，攻擊者可使用一個稱為參數偽裝的向量透過 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 發動攻擊。當攻擊者可使用分號 (;) 分隔查詢參數時，可造成 Proxy (以預設組態執行) 和伺服器之間的要求解譯不同。這可導致將惡意要求快取為完全安全的要求，因為 Proxy 通常不會將分號視為分隔符號，因此不會將其包含在無索引鍵參數的快取金鑰中。(CVE-2021-23336)

  - 在 Pygments 1.5 至 2.7.3 版中，SMLLexer 在突出顯示標準 ML (SML) 來源檔案的語法時，可能會因存在無限迴圈而導致拒絕服務，僅包含例外關鍵字的輸入即為一例。 (CVE-2021-20270)

  - 在 pygments 1.1+ 中，用於剖析程式設計語言的 lexer 高度依賴規則運算式，此問題已在 2.7.4 版中修正。部分規則運算式具有指數或三次方最壞情況複雜度，且容易受到 ReDoS 弱點影響。攻擊者可以透過特製的惡意輸入造成拒絕服務。
    (CVE-2021-27291)

  - 在 python-lxml 的 clean 模組 4.6.3 之前版本中發現 XSS 弱點。停用 safe_attrs_only 和表單引數時，Cleaner 類別不會移除 formaction 屬性，這會允許 JS 繞過清理程式。遠端攻擊者可惡意利用此瑕疵，針對與未正確清理的 HTML 互動的使用者執行任意 JS 程式碼。此問題已在 lxml 4.6.3 中得到修補。
    (CVE-2021-28957)

  - Babel 2.9.1 版之前的 Babel.Locale 允許攻擊者透過目錄遊走載入任意地區設定 .dat 檔案 (包含序列化的 Python 物件)，進而導致程式碼執行。(CVE-2021-42771)

  - 這會影響 0.0.0 和 2.11.3 之前版本中的套件 jinja2。ReDoS 弱點主要是由於「_punctuation_re regex」運算子及其使用多個萬用字元所致。最後一個萬用字元最容易遭到惡意利用，因為它會搜尋結尾的標點符號。透過 Markdown 格式化使用者內容 (而非 urlize 篩選器)，或透過實作要求逾時和限制處理程序記憶體，可減輕此問題造成的影響。(CVE-2020-28493)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

最新上游版本中用來解決 CVE-2021-30152 的修補程式無法移植到 stretch-security 版本，這會導致 MediaWiki API 失敗。此更新包含上游 REL_31 版本中的修補程式，可修正該問題。 

針對 Debian 9 Stretch，已在 1:1.27.7-1~deb9u9 版本中修正此問題。

建議您升級 mediawiki 套件。

如需有關 mediawiki 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/mediawiki

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，以 Python 撰寫的語法醒目提示套件 Pygments 可被迫進入無限迴圈，進而導致拒絕服務。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2021: 4139 公告中提及的多個弱點影響。

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python-pygments：多個語彙分析器中的 ReDoS (CVE-2021-27291)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 / 8 主機上安裝的多個套件受到 RHSA-2021:0781 公告中提及的多個弱點影響。

  - nodejs-node-notifier：由於在傳遞陣列時未清理選項參數，導致發生命令注入攻擊 (CVE-2020-7789)

  - nodejs-ajv：透過 ajv.validate 函式中的特製 JSON 結構描述造成原型污染 (CVE-2020-15366)

  - django：透過 archive.extract() 造成潛在目錄遊走 (CVE-2021-3281)

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python-breach：batch.clean 中的突變跨網站指令碼 (CVE-2021-23980)

  - python-pygments：多個詞法分析器中的 ReDoS (CVE-2021-27291)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021: 3252 公告中提及的多個弱點影響。

  - python：對測試套件中透過 HTTP 擷取的資料以不安全的方式使用 eval() (CVE-2020-27619)

  - python-jinja2：urlize 篩選器中的 ReDoS 弱點 (CVE-2020-28493)

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python：透過在查詢參數中使用分號，經由 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 造成 Web 快取毒害 (CVE-2021-23336)

  - python-pygments：多個語彙分析器中的 ReDoS (CVE-2021-27291)

  - python：_ctypes/callproc.c 的 PyCArg_repr 中存在堆疊型緩衝區溢位弱點 (CVE-2021-3177)

  - python-babel：相對路徑遊走弱點允許攻擊者載入任意地區設定檔案並執行任意程式碼 (CVE-2021-42771)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-4150 公告中提及的多個弱點影響。

  - 在 Pygments 1.5 至 2.7.3 版中，SMLLexer 在突出顯示標準 ML (SML) 來源檔案的語法時，可能會因存在無限迴圈而導致拒絕服務，僅包含例外關鍵字的輸入即為一例。 (CVE-2021-20270)

  - 在 pygments 1.1+ 中，用於剖析程式設計語言的 lexer 高度依賴規則運算式，此問題已在 2.7.4 版中修正。部分規則運算式具有指數或三次方最壞情況複雜度，且容易受到 ReDoS 弱點影響。攻擊者可以透過特製的惡意輸入造成拒絕服務。
    (CVE-2021-27291)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2021: 4151 公告中提及的多個弱點影響。

  - python：對測試套件中透過 HTTP 擷取的資料以不安全的方式使用 eval() (CVE-2020-27619)

  - python-jinja2：urlize 篩選器中的 ReDoS 弱點 (CVE-2020-28493)

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python：透過在查詢參數中使用分號，經由 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 造成 Web 快取毒害 (CVE-2021-23336)

  - python-pygments：多個語彙分析器中的 ReDoS (CVE-2021-27291)

  - python-lxml：遺漏對 formaction HTML5 屬性的輸入清理可能導致 XSS (CVE-2021-28957)

  - python-babel：相對路徑遊走弱點允許攻擊者載入任意地區設定檔案並執行任意程式碼 (CVE-2021-42771)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021：4139 公告中提及的多個弱點影響。

  - python-pygments：SML 詞法分析器中的無限迴圈弱點可能導致 DoS (CVE-2021-20270)

  - python-pygments：多個語彙分析器中的 ReDoS (CVE-2021-27291)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

據發現，pygments (一種通用語法語法醒目提示工具) 容易受到藉由特製的 SML 檔案執行的 CPU 耗盡攻擊。

針對 Debian 9 Stretch，已在 2.2.0+dfsg-1+deb9u1 版本中修正此問題。

建議您升級 pygments 套件。

如需有關 pygments 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/pygments

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10 主機上安裝的套件受到 USN-4885-1公告中所提及的一個弱點影響。請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 MediaWiki (一個用於共同作業的網站引擎) 中發現多個安全性問題，可導致頁面/封鎖保護不完整、拒絕服務或跨網站指令碼攻擊。

ID	名稱	產品	系列	已發布	已更新	嚴重性
155047	CentOS 8：python36: 3.6 (CESA-2021: 4150)	Nessus	CentOS Local Security Checks	2021/11/11	2023/11/24	high
155151	RHEL 8：python27: 2.7 (RHSA-2021: 4151)	Nessus	Red Hat Local Security Checks	2021/11/11	2024/1/16	critical
155197	RHEL 8：python36: 3.6 (RHSA-2021: 4150)	Nessus	Red Hat Local Security Checks	2021/11/11	2024/4/28	high
155615	Oracle Linux 8：resource-agents (ELSA-2021-9553)	Nessus	Oracle Linux Local Security Checks	2021/11/19	2023/11/23	high
155987	Oracle Linux 8：python27：2.7 (ELSA-2021-4151)	Nessus	Oracle Linux Local Security Checks	2021/12/10	2024/1/16	critical
149344	Debian DLA-2648-2：mediawiki 迴歸更新	Nessus	Debian Local Security Checks	2021/5/7	2024/1/12	medium
147793	Debian DSA-4870-1：pygments - 安全性更新	Nessus	Debian Local Security Checks	2021/3/15	2021/3/29	high
155029	CentOS 8：resource-agents (CESA-2021: 4139)	Nessus	CentOS Local Security Checks	2021/11/11	2023/11/24	high
194285	RHEL 7 / 8：Red Hat Ansible Automation Platform 1.2.2 (RHSA-2021:0781)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/6/4	medium
152778	RHEL 7：python27 (RHSA-2021: 3252)	Nessus	Red Hat Local Security Checks	2021/8/24	2024/1/16	critical
155978	Oracle Linux 8：python36: 3.6 (ELSA-2021-4150)	Nessus	Oracle Linux Local Security Checks	2021/12/10	2023/11/22	high
155049	CentOS 8：python27: 2.7 (CESA-2021: 4151)	Nessus	CentOS Local Security Checks	2021/11/11	2024/1/16	critical
155105	RHEL 8：resource-agents (RHSA-2021: 4139)	Nessus	Red Hat Local Security Checks	2021/11/11	2024/4/28	high
147772	Debian DLA-2590-1：pygments 安全性更新	Nessus	Debian Local Security Checks	2021/3/15	2021/3/29	high
147969	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Pygments 弱點 (USN-4885-1)	Nessus	Ubuntu Local Security Checks	2021/3/23	2023/10/16	high
148441	Debian DSA-4889-1：mediawiki - 安全性更新	Nessus	Debian Local Security Checks	2021/4/12	2024/1/16	medium

偵測

搜尋 Plugin

high

critical

high

high

critical

medium

high

high

medium

critical

high

critical

high

high

high

medium