遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021:3254 公告中提及的多個弱點影響。

    Python 是經過解譯的互動式物件導向程式設計語言，包括模組、類別、例外狀況、非常高階的動態資料類型，以及動態輸入。Python 支援許多系統呼叫和程式庫的介面，以及多種 Window 系統的介面。

    下列套件已升級至更新的上游版本rh-python38-python (3.8.11)。
    (BZ#1969523)

    安全性修正：

    * python-cryptography針對 RSA 解密的 Bleichenbacher 定時 oracle 攻擊 (CVE-2020-25659)

    * python在測試套件中對透過 HTTP 擷取的資料不安全地使用 eval() (CVE-2020-27619)

    * python-lxmlmXSS這是因為使用不當剖析器所導致 (CVE-2020-27783)

    * python-jinja2sub-pattern 造成的 ReDoS 弱點 (CVE-2020-28493)

    * python-cryptography對稱加密的大量輸入可觸發整數溢位進而導致緩衝區溢位 (CVE-2020-36242)

    * python_ctypes/callproc.c 的 PyCArg_repr 中發生堆疊型緩衝區溢位 (CVE-2021-3177)

    * python透過 pydoc 造成資訊洩漏 (CVE-2021-3426)

    * python-babel相對路徑遊走允許攻擊者載入任意地區設定檔案及執行任意程式碼 (CVE-2021-20095)

    * python在查詢參數中使用分號進而造成 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 的 Web 快取毒害 (CVE-2021-23336)

    * python-lxmlformaction HTML5 屬性的遺漏輸入清理可能導致 XSS (CVE-2021-28957)

    * python-ipaddress八進位字串的不當輸入驗證 (CVE-2021-29921)

    * python-urllib3URL 的授權單位部分剖析中發生 ReDoS (CVE-2021-33503)

    * python-pip不正確處理 git 參照中的 unicode 分隔符號 (CVE-2021-3572)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    其他資訊

    * Python urllib 剖析函式之預設分隔符號的變更

    為了減輕 Python urllib 程式庫中的 Web Cache Poisoning CVE-2021-23336 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 函式的預設分隔符號從 & 符號 (&) 和分號 (;) 變更為只有 & 符號。

    預設分隔符號的變更可能造成回溯不相容因此 Red Hat 會提供一種在 Python 套件 (已變更預設分隔符號) 中設定行為的方法。此外如果受影響的 urllib 剖析函式偵測到客戶應用程式受到變更影響則會發出警告。

    如需詳細資訊請參閱可從〈參照〉一節連結的知識庫文章「Python urllib 程式庫中 Web 快取毒害的減輕措施」(CVE-2021-23336)。

    * Python ipaddress 模組不再允許 IPv4 位址中有前置零

    為減輕 CVE-2021-29921的影響Python ipaddress 模組現在會拒絕前導零的 IPv4 位址並顯示 AddressValueError: leader zero is not allowed 錯誤。

    依賴先前行為的客戶可以預先處理其 IPv4 位址輸入以去除開頭的零。如需詳細資訊請參閱 Red Hat Software Collections 3.7 版本資訊。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 7rh-python38 (RHSA-2021:3254)

high Nessus Plugin ID 152781

版本 1.10