远程 Oracle Linux 9 主机上安装的多个程序包受到 ELSA-2022-8493 公告中提及的一个漏洞影响。

  - Linux 上的 Python 3.9.x 和 3.10.x 至 3.10.8 版允许在非默认配置中提升本地权限。Python 多处理库与 Linux 上的 forkserver 启动方法一起使用时，允许从同一计算机本地网络命名空间中的任何用户（这在许多系统配置中表示同一计算机上的任何用户）反序列化 pickles。Pickles 可执行任意代码。因此，这允许将本地用户权限升级为运行任何 forkserver 进程的用户。将 multiprocessing.util.abstract_sockets_supported 设置为 False 是一种变通方案。多进程的 forkserver 启动方法不是默认的启动方法。仅 Linux 系统会发生此问题，因为只有 Linux 支持抽象命名空间套接字。低于 3.9 的 CPython 默认不使用 Linux 抽象命名空间套接字。在 3.7.8 和 3.8.4 版中，作为缺陷补丁添加了对用户手动指定抽象命名空间的支持，但在 3.9之前的 CPython 中，用户需要进行特定的不常见 API 调用才可以做到。(CVE-2022-42919)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Oracle Linux 9：python3.9 (ELSA-2022-8493)

high Nessus 插件 ID 168164

版本 1.5