The remote Debian 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-2950 advisory.

    It was found that Scrapy, a framework for extracting data from websites, could send HTTP Authorization as     well as cookies to other domains in case of redirections, possibly leaking user credentials. For Debian 9     stretch, these problems have been fixed in version 1.0.3-2+deb9u1. We recommend that you upgrade your     python-scrapy packages. For the detailed security status of python-scrapy please refer to its security     tracker page at: https://security-tracker.debian.org/tracker/python-scrapy Further information about     Debian LTS security advisories, how to apply these updates to your system and frequently asked questions     can be found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 9 ホストには、dla-2950 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Scrapy は、Python 用の高レベル Web クロールおよびスクレイピングフレームワークです。HTTP 認証に「HttpAuthMiddleware」(つまり「http_user」および「http_pass」スパイダー属性) を使用する場合、すべてのリクエストで認証情報がリクエストターゲットに漏えいします。これには、「ROBOTSTXT_OBEY」設定が「True」に設定されているときに Scrapy によって送信された「robots.txt」リクエストや、リダイレクトを通じて到達したリクエストなど、Scrapy コンポーネントによって生成されたリクエストが含まれます。Scrapy 2.5.1 にアップグレードし、新しい「http_auth_domain」スパイダー属性を使用して、構成された HTTP 認証の認証情報の受信を許可するドメインを制御してください。Scrapy 1.8 以前のバージョンを使用しており、Scrapy 2.5.1 へのアップグレードが選択できない場合は、代わりに Scrapy 1.8.1 にアップグレードできます。アップグレードできない場合は、「HttpAuthMiddleware」を使用してグローバルに認証情報を定義する代わりに、たとえば「w3lib.http.basic_auth_header」関数を使用して認証情報をリクエストの「Authorization」ヘッダーに割り当てることができる値に変換することで、HTTP 認証認証情報をリクエストごとに設定します。(CVE-2021-41125)

  - 2.6.1 より前の GitHub リポジトリでの権限のないアクターへの機密情報の漏洩。(CVE-2022-0577)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 Debian 9 主机上安装的多个程序包受到 dla-2950 公告中提及的多个漏洞影响。

  - Scrapy 是用于 Python 的高级 Web 爬取和抓取框架。如果使用 `HttpAuthMiddleware`（即 `http_user` 和 `http_pass` Spider 属性）进行 HTTP 认证，则所有请求都将向请求目标公开您的凭据。这包括 Scrapy 组件生成的请求，例如当 `ROBOTSTXT_OBEY` 设置为 `True` 时，由 Scrapy 发送的 `robots.txt` 请求，或通过重定向到达的请求。升级到 Scrapy 2.5.1 并使用新的 `http_auth_domain` spider 属性来控制允许哪些域接收已配置的 HTTP 认证凭据。如果您使用的是 Scrapy 1.8 或更低版本，并且无法升级到 Scrapy 2.5.1 ，则可以改为升级到 Scrapy 1.8.1 。如果您无法升级，请在每个请求的基础上设置 HTTP 认证凭据，例如使用 `w3lib.http.basic_auth_header` 函数将凭据转换为可分配给请求 `Authorization` 标头的值，而不是使用 `HttpAuthMiddleware` 全局定义凭据。(CVE-2021-41125)

  - 在 GitHub 存储库 scrapy/scrapy 2.6.1 之前版本中，未授权的执行者将会看到敏感信息。(CVE-2022-0577)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

遠端 Debian 9 主機上安裝的多個套件受到 dla-2950 公告中提及的多個弱點影響。

  - Scrapy 是適用 Python 的高階 Web 爬取與抓取架構。如果您使用 `HttpAuthMiddleware` (即 `http_user` 和 `http_pass` Spider 屬性) 進行 HTTP 驗證，則所有要求都會將您的憑證公開給要求目標。這包括由 Scrapy 元件產生的要求，例如當 `ROBOTSTXT_OBEY` 設定設為 `True` 時，Scrapy 傳送的 `robots.txt` 要求，或透過重新導向到達的要求。升級至 Scrapy 2.5.1 並使用新的 `http_auth_domain` spider 屬性來控制允許哪些網域接收已設定的 HTTP 驗證憑證。如果您使用的是 Scrapy 1.8 或更低版本，且無法升級至 Scrapy 2.5.1 ，則可以改為升級至 Scrapy 1.8.1 。如果無法升級，請在每個要求中設定 HTTP 驗證憑證，例如使用 `w3lib.http.basic_auth_header` 函式將您的憑證轉換為可以指派給要求之 `Authorization` 標頭的值，而非使用 `HttpAuthMiddleware` 全域定義憑證。(CVE-2021-41125)

  - GitHub 存放庫 scrapy/scrapy 2.6.1 更早版本會將敏感資訊洩漏給未經授權的執行者。(CVE-2022-0577)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-7476-1 advisory.

    It was discovered that Scrapy improperly exposed HTTP authentication

    credentials to request targets, including during redirects. An attacker

    could use this issue to gain unauthorized access to user accounts. This issue only affected Ubuntu 18.04     LTS and Ubuntu 20.04 LTS. (CVE-2021-41125)

    It was discovered that Scrapy did not remove the cookie header during cross-domain redirects. An attacker     could possibly use this issue to gain unauthorized access to user accounts. This issue only affected     Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, and Ubuntu 22.04 LTS. (CVE-2022-0577)

    It was discovered that Scrapy inefficiently parsed XML content. An attacker could use this issue to cause     a denial of service by sending a crafted XML response. This issue only affected Ubuntu 18.04 LTS, Ubuntu     20.04 LTS, and Ubuntu 22.04 LTS. (CVE-2024-1892)

    It was discovered that Scrapy did not properly check response size during decompression. An attacker could     send a crafted response that would exhaust memory and cause a denial of service. This issue only affected     Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, and Ubuntu 22.04 LTS. (CVE-2024-3572)

    It was discovered that Scrapy did not remove the authorization header during cross-domain redirects. An     attacker could possibly use this issue to gain unauthorized access to user accounts. This issue only     affected

    Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, and Ubuntu 22.04 LTS. (CVE-2024-3574)

    It was discovered that Scrapy did not remove the authorization header during redirects that change scheme     but remain in the same domain. This issue could possibly be used by an attacker to expose sensitive

    information or to gain unauthorized access to user accounts. (CVE-2024-1968)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Scrapy is a high-level web crawling and scraping framework for Python. If you use `HttpAuthMiddleware`     (i.e. the `http_user` and `http_pass` spider attributes) for HTTP authentication, all requests will expose     your credentials to the request target. This includes requests generated by Scrapy components, such as     `robots.txt` requests sent by Scrapy when the `ROBOTSTXT_OBEY` setting is set to `True`, or as requests     reached through redirects. Upgrade to Scrapy 2.5.1 and use the new `http_auth_domain` spider attribute to     control which domains are allowed to receive the configured HTTP authentication credentials. If you are     using Scrapy 1.8 or a lower version, and upgrading to Scrapy 2.5.1 is not an option, you may upgrade to     Scrapy 1.8.1 instead. If you cannot upgrade, set your HTTP authentication credentials on a per-request     basis, using for example the `w3lib.http.basic_auth_header` function to convert your credentials into a     value that you can assign to the `Authorization` header of your request, instead of defining your     credentials globally using `HttpAuthMiddleware`. (CVE-2021-41125)

Note that Nessus relies on the presence of the package as reported by the vendor.

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには、USN-7476-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Scrapy が HTTP 認証を不適切に漏洩することが判明しました

    リダイレクト中も含め、ターゲットをリクエストする際に認証情報が必要となります。攻撃者が、

    がこの問題を利用して、ユーザーアカウントへの認証されていないアクセスを取得する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS と Ubuntu 20.04 LTS のみです。(CVE-2021-41125)

    クロスドメインリダイレクト中に Scrapy がクッキーヘッダーを削除しないことが判明しました。攻撃者がこの問題を悪用し、ユーザーアカウントへの不正アクセスを取得する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS のみです。(CVE-2022-0577)

    Scrapy が XML コンテンツを非効率的に解析していることが判明しました。攻撃者がこの問題を利用して、細工された XML 応答を送信することでサービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS のみです。(CVE-2024-1892)

    Scrapy が展開中に応答サイズを適切にチェックしていないことが判明しました。攻撃者が、メモリを枯渇させてサービス拒否を引き起こす細工された応答を送信する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS のみです。(CVE-2024-3572)

    Scrapy がクロスドメインリダイレクトの際に承認ヘッダーを削除しないことが判明しました。攻撃者がこの問題を悪用し、ユーザーアカウントへの不正アクセスを取得する可能性があります。この問題の影響を受けるのは、

    Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS。CVE-2024-3574

    スキームを変更するが同じドメインに残るリダイレクト中に Scrapy が承認ヘッダーを削除しないことが判明しました。攻撃者がこの問題を利用して、秘密鍵を漏洩する可能性があります。

    ユーザーアカウントへの不正アクセスを取得する可能性があります。CVE-2024-1968

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Scrapy は、Python 用の高レベル Web クロールおよびスクレイピングフレームワークです。HTTP 認証に「HttpAuthMiddleware」(つまり「http_user」および「http_pass」スパイダー属性) を使用する場合、すべてのリクエストで認証情報がリクエストターゲットに漏えいします。これには、「ROBOTSTXT_OBEY」設定が「True」に設定されているときに Scrapy によって送信された「robots.txt」リクエストや、リダイレクトを通じて到達したリクエストなど、Scrapy コンポーネントによって生成されたリクエストが含まれます。Scrapy 2.5.1 にアップグレードし、新しい「http_auth_domain」スパイダー属性を使用して、構成された HTTP 認証の認証情報の受信を許可するドメインを制御してください。Scrapy 1.8 以前のバージョンを使用しており、Scrapy 2.5.1 へのアップグレードが選択できない場合は、代わりに Scrapy 1.8.1 にアップグレードできます。アップグレードできない場合は、「HttpAuthMiddleware」を使用してグローバルに認証情報を定義する代わりに、たとえば「w3lib.http.basic_auth_header」関数を使用して認証情報をリクエストの「Authorization」ヘッダーに割り当てることができる値に変換することで、HTTP 認証認証情報をリクエストごとに設定します。(CVE-2021-41125)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Scrapy 是用于 Python 的高级 Web 爬取和抓取框架。如果使用 `HttpAuthMiddleware`（即 `http_user` 和 `http_pass` Spider 属性）进行 HTTP 认证，则所有请求都将向请求目标公开您的凭据。这包括 Scrapy 组件生成的请求，例如当 `ROBOTSTXT_OBEY` 设置为 `True` 时，由 Scrapy 发送的 `robots.txt` 请求，或通过重定向到达的请求。升级到 Scrapy 2.5.1 并使用新的 `http_auth_domain` spider 属性来控制允许哪些域接收已配置的 HTTP 认证凭据。如果您使用的是 Scrapy 1.8 或更低版本，并且无法升级到 Scrapy 2.5.1 ，则可以改为升级到 Scrapy 1.8.1 。如果您无法升级，请在每个请求的基础上设置 HTTP 认证凭据，例如使用 `w3lib.http.basic_auth_header` 函数将凭据转换为可分配给请求 `Authorization` 标头的值，而不是使用 `HttpAuthMiddleware` 全局定义凭据。(CVE-2021-41125)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到 USN-7476-1 公告中提及的多个漏洞影响。

    发现 Scrapy 未能正确暴露 HTTP 认证

    提供凭据，包括在重定向期间。攻击者

    可以利用此问题获得对用户帐户的未经授权的访问权限。此问题仅影响 Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-41125)

    发现 Scrapy 在跨域重定向期间未能移除 cookie 标头。攻击者可能利用此问题来获取对用户帐户未经授权的访问权限。此问题只影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2022-0577)

    发现 Scrapy 未能有效解析 XML 内容。攻击者可利用此问题通过发送构建的 XML 响应来造成拒绝服务。此问题只影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2024-1892)

    发现 Scrapy 在解压缩期间未能正确检查响应大小。攻击者可发送特制的响应进而耗尽内存并造成拒绝服务。此问题只影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2024-3572)

    发现 Scrapy 在跨域重定向期间未能移除授权标头。攻击者可能利用此问题来获取对用户帐户未经授权的访问权限。此问题仅影响

    Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。 (CVE-2024-3574)

    发现 Scrapy 在改变方案但保留在相同域的重定向期间未删除授权标头。攻击者可能利用此问题暴露敏感漏洞

    信息或取得对用户帐户的未经授权的访问权限。 (CVE-2024-1968)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS 主機上安裝的多個套件受到 USN-7476-1 公告中提及的多個弱點影響。

    據發現Scrapy 未正確洩漏 HTTP 驗證

    要求目標的認證，包括重新導向期間。攻擊者

    可利用此問題取得對使用者帳戶的未經授權存取權。此問題僅影響 Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-41125)

    據發現Scrapy 在跨網域重新導向期間未移除 cookie 標頭。攻擊者可能利用此問題取得對使用者帳戶的未經授權存取權。此問題只會影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2022-0577)

    據發現Scrapy 未有效剖析 XML 內容。攻擊者可利用此問題透過傳送特製的 XML 回應造成拒絕服務。此問題只會影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2024-1892)

    據發現Scrapy 在解壓縮期間未正確檢查回應大小。攻擊者可傳送特製的回應來耗盡記憶體並造成拒絕服務。此問題只會影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2024-3572)

    據發現Scrapy 在跨網域重新導向期間未移除授權標頭。攻擊者可能利用此問題取得對使用者帳戶的未經授權存取權。此問題只會影響

    Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。 (CVE-2024-3574)

    據發現Scrapy 在重新導向期間未移除授權標頭這會變更配置但仍保留在相同網域中。攻擊者可能會利用此問題洩漏敏感資訊

    取得未經授權的使用者帳戶存取權。 (CVE-2024-1968)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Scrapy 是適用 Python 的高階 Web 爬取與抓取架構。如果您使用 `HttpAuthMiddleware` (即 `http_user` 和 `http_pass` Spider 屬性) 進行 HTTP 驗證，則所有要求都會將您的憑證公開給要求目標。這包括由 Scrapy 元件產生的要求，例如當 `ROBOTSTXT_OBEY` 設定設為 `True` 時，Scrapy 傳送的 `robots.txt` 要求，或透過重新導向到達的要求。升級至 Scrapy 2.5.1 並使用新的 `http_auth_domain` spider 屬性來控制允許哪些網域接收已設定的 HTTP 驗證憑證。如果您使用的是 Scrapy 1.8 或更低版本，且無法升級至 Scrapy 2.5.1 ，則可以改為升級至 Scrapy 1.8.1 。如果無法升級，請在每個要求中設定 HTTP 驗證憑證，例如使用 `w3lib.http.basic_auth_header` 函式將您的憑證轉換為可以指派給要求之 `Authorization` 標頭的值，而非使用 `HttpAuthMiddleware` 全域定義憑證。(CVE-2021-41125)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
158996	Debian DLA-2950-1 : python-scrapy - LTS security update	Nessus	Debian Local Security Checks	2022/3/16	2025/1/24	medium
158996	Debian DLA-2950-1 : python-scrapy - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/3/16	2025/1/24	medium
158996	Debian DLA-2950-1：python-scrapy - LTS 安全更新	Nessus	Debian Local Security Checks	2022/3/16	2025/1/24	medium
158996	Debian DLA-2950-1：python-scrapy - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/3/16	2025/1/24	medium
235158	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS : Scrapy vulnerabilities (USN-7476-1)	Nessus	Ubuntu Local Security Checks	2025/5/5	2025/5/5	medium
250486	Linux Distros Unpatched Vulnerability : CVE-2021-41125	Nessus	Misc.	2025/8/18	2025/8/18	medium
235158	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSScrapy の脆弱性USN-7476-1	Nessus	Ubuntu Local Security Checks	2025/5/5	2025/5/5	medium
250486	Linux Distros のパッチ未適用の脆弱性: CVE-2021-41125	Nessus	Misc.	2025/8/18	2025/8/18	medium
250486	Linux Distros 未修补的漏洞：CVE-2021-41125	Nessus	Misc.	2025/8/18	2025/8/18	medium
235158	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSScrapy 漏洞 (USN-7476-1)	Nessus	Ubuntu Local Security Checks	2025/5/5	2025/5/5	medium
235158	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSScrapy 弱點 (USN-7476-1)	Nessus	Ubuntu Local Security Checks	2025/5/5	2025/5/5	medium
250486	Linux Distros 未修補的弱點：CVE-2021-41125	Nessus	Misc.	2025/8/18	2025/8/18	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium