Debian DLA-2950-1：python-scrapy - LTS 安全更新

medium Nessus 插件 ID 158996

语言：

简介

远程 Debian 主机上缺少一个或多个与安全性相关的更新。

描述

远程 Debian 9 主机上安装的多个程序包受到 dla-2950 公告中提及的多个漏洞影响。

- Scrapy 是用于 Python 的高级 Web 爬取和抓取框架。如果使用 `HttpAuthMiddleware`（即 `http_user` 和 `http_pass` Spider 属性）进行 HTTP 认证，则所有请求都将向请求目标公开您的凭据。这包括 Scrapy 组件生成的请求，例如当 `ROBOTSTXT_OBEY` 设置为 `True` 时，由 Scrapy 发送的 `robots.txt` 请求，或通过重定向到达的请求。升级到 Scrapy 2.5.1 并使用新的 `http_auth_domain` spider 属性来控制允许哪些域接收已配置的 HTTP 认证凭据。如果您使用的是 Scrapy 1.8 或更低版本，并且无法升级到 Scrapy 2.5.1 ，则可以改为升级到 Scrapy 1.8.1 。如果您无法升级，请在每个请求的基础上设置 HTTP 认证凭据，例如使用 `w3lib.http.basic_auth_header` 函数将凭据转换为可分配给请求 `Authorization` 标头的值，而不是使用 `HttpAuthMiddleware` 全局定义凭据。(CVE-2021-41125)

- 在 GitHub 存储库 scrapy/scrapy 2.6.1 之前版本中，未授权的执行者将会看到敏感信息。(CVE-2022-0577)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。