Debian DLA-1520-1:python3.4 安全更新

critical Nessus 插件 ID 117713

简介

远程 Debian 主机缺少安全更新。

描述

CPython 解释器中发现多个漏洞,可能会造成拒绝服务、信息获取和任意代码执行。CVE-2017-1000158 CPython(亦即 Python)在 stringobject.c 的 PyString_DecodeEscape 函数中容易发生整数溢出,进而导致基于堆的缓冲区溢出(而且可能执行任意代码) CVE-2018-1060 python 容易受到 pop3lib 的 apop() 方法中灾难性回溯漏洞攻击。攻击者可利用此缺陷造成拒绝服务。CVE-2018-1061 python 的 difflib.IS_LINE_JUNK 方法中存在灾难性回溯漏洞。攻击者可利用此缺陷造成拒绝服务。CVE-2018-1000802 Python Software Foundation Python (CPython) 2.7 版本中包含 CWE-77:shutil 模块中的命令(“命令注入”)漏洞所使用的特殊元素未正确抵消,通过在系统或整个驱动器上注入任意文件,可能会造成拒绝服务和信息获取。此攻击似乎可通过向函数传递未经筛选的用户输入加以利用。对于 Debian 8“Jessie”,这些问题已在 3.4.2-1~deb8u1 版本中修复。我们建议您升级 python3.4 程序包。注意:Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下,尽可能进行自动整理和排版。

解决方案

升级受影响的程序包。

另见

https://lists.debian.org/debian-lts-announce/2018/09/msg00031.html

https://packages.debian.org/source/jessie/python3.4

插件详情

严重性: Critical

ID: 117713

文件名: debian_DLA-1520.nasl

版本: 1.3

类型: local

代理: unix

发布时间: 2018/9/27

最近更新时间: 2021/1/11

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 7.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS v3

风险因素: Critical

基本分数: 9.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:idle-python3.4, p-cpe:/a:debian:debian_linux:libpython3.4, p-cpe:/a:debian:debian_linux:libpython3.4-dbg, p-cpe:/a:debian:debian_linux:libpython3.4-dev, p-cpe:/a:debian:debian_linux:libpython3.4-minimal, p-cpe:/a:debian:debian_linux:libpython3.4-stdlib, p-cpe:/a:debian:debian_linux:libpython3.4-testsuite, p-cpe:/a:debian:debian_linux:python3.4, p-cpe:/a:debian:debian_linux:python3.4-dbg, p-cpe:/a:debian:debian_linux:python3.4-dev, p-cpe:/a:debian:debian_linux:python3.4-doc, p-cpe:/a:debian:debian_linux:python3.4-examples, p-cpe:/a:debian:debian_linux:python3.4-minimal, p-cpe:/a:debian:debian_linux:python3.4-venv, cpe:/o:debian:debian_linux:8.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

补丁发布日期: 2018/9/25

参考资料信息

CVE: CVE-2017-1000158, CVE-2018-1000802, CVE-2018-1060, CVE-2018-1061