Oracle Linux 8：python38: 3.8 / 和 / python38-devel: 3.8 (ELSA-2023-2763)
high Nessus 插件 ID 176300
语言：
简介
远程 Oracle Linux 主机缺少一个或多个安全更新。描述
远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2023-2763 公告中提及的多个漏洞的影响。- 在低于 3.11.1 版的 Python 中发现一个问题 。处理 IDNA (RFC 3490) 解码器的某些输入时，一个路径中存在不必要的二次算法，因此向解码器显示的特别构建的过长名称可导致 CPU 拒绝服务。主机名通常由可能受到恶意执行者控制的远程服务器提供；在这种情况下，它们可在尝试使用攻击者提供的假想主机名的客户端上触发过度消耗 CPU。
例如，攻击负载可放置在具有状态代码 302 的 HTTP 响应的 Location 标头中。计划在 3.11.1、 3.10.9、 3.9.16、 3.8.16 和 3.7.16 版中进行修复。(CVE-2022-45061)
- 在 python 中发现一个缺陷。在使用非二进制基底的具有二次时间复杂度的算法中，当使用 int(text) 时，系统可能需要 50 秒才能解析具有 100,000 位数的 int 字符串，需要 5 秒解析 1,000,000 位数的 int 字符串（二进制基数 2、4、8、16 和 32 的 float、decimal、int.from_bytes() 和 int() 不受影响）。此漏洞最大的威胁在于系统可用性。(CVE-2020-10735)
- ** 有争议 ** Python 3.x 至 3.10 版在 lib/http/server.py 中有一个开放重定向漏洞，这是由未针对 URI 路径开头的多个 (/) 提供保护而引起的，可能会导致信息泄露。
注意：第三方对此问题存在争议，因为 http.server.html 文档页面存在警告：
不建议将 http.server 用于生产用途，而仅用于基本的安全检查。(CVE-2021-28861)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
插件详情
严重性: High
ID: 176300
文件名: oraclelinux_ELSA-2023-2763.nasl
版本: 1.0
类型: local
代理: unix
发布时间: 2023/5/24
最近更新时间: 2023/5/24
支持的传感器: Frictionless Assessment Agent, Nessus Agent
风险信息
VPR
风险因素: Medium
分数: 5.2
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 6.1
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 分数来源: CVE-2021-28861
CVSS v3
风险因素: High
基本分数: 7.4
时间分数: 6.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:oracle:linux:python38-cffi, p-cpe:/a:oracle:linux:python38-py, p-cpe:/a:oracle:linux:python38-requests, p-cpe:/a:oracle:linux:python38-test, p-cpe:/a:oracle:linux:python38-devel, p-cpe:/a:oracle:linux:python38-mod_wsgi, p-cpe:/a:oracle:linux:python38-more-itertools, p-cpe:/a:oracle:linux:python38, p-cpe:/a:oracle:linux:python38-idle, p-cpe:/a:oracle:linux:python38-packaging, p-cpe:/a:oracle:linux:python38-pysocks, p-cpe:/a:oracle:linux:python38-setuptools, p-cpe:/a:oracle:linux:python38-pymysql, p-cpe:/a:oracle:linux:python38-asn1crypto, p-cpe:/a:oracle:linux:python38-debug, p-cpe:/a:oracle:linux:python38-jinja2, p-cpe:/a:oracle:linux:python38-lxml, p-cpe:/a:oracle:linux:python38-ply, p-cpe:/a:oracle:linux:python38-psycopg2-tests, p-cpe:/a:oracle:linux:python38-cryptography, p-cpe:/a:oracle:linux:python38-pip-wheel, p-cpe:/a:oracle:linux:python38-numpy-doc, p-cpe:/a:oracle:linux:python38-tkinter, p-cpe:/a:oracle:linux:python38-pycparser, p-cpe:/a:oracle:linux:python38-setuptools-wheel, p-cpe:/a:oracle:linux:python38-six, p-cpe:/a:oracle:linux:python38-rpm-macros, p-cpe:/a:oracle:linux:python38-markupsafe, p-cpe:/a:oracle:linux:python38-numpy, p-cpe:/a:oracle:linux:python38-psutil, p-cpe:/a:oracle:linux:python38-psycopg2, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:python38-wheel, p-cpe:/a:oracle:linux:python38-atomicwrites, p-cpe:/a:oracle:linux:python38-babel, p-cpe:/a:oracle:linux:python38-libs, p-cpe:/a:oracle:linux:python38-numpy-f2py, p-cpe:/a:oracle:linux:python38-pytz, p-cpe:/a:oracle:linux:python38-pyyaml, p-cpe:/a:oracle:linux:python38-urllib3, p-cpe:/a:oracle:linux:python38-attrs, p-cpe:/a:oracle:linux:python38-pyparsing, p-cpe:/a:oracle:linux:python38-scipy, p-cpe:/a:oracle:linux:python38-wcwidth, p-cpe:/a:oracle:linux:python38-chardet, p-cpe:/a:oracle:linux:python38-idna, p-cpe:/a:oracle:linux:python38-pip, p-cpe:/a:oracle:linux:python38-pluggy, p-cpe:/a:oracle:linux:python38-psycopg2-doc, p-cpe:/a:oracle:linux:python38-pytest, p-cpe:/a:oracle:linux:python38-wheel-wheel, p-cpe:/a:oracle:linux:python38-cython
必需的 KB 项: Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list, Host/local_checks_enabled
可利用: true
易利用性: Exploits are available
补丁发布日期: 2023/5/23
漏洞发布日期: 2022/8/23
参考资料信息
CVE: CVE-2020-10735, CVE-2021-28861, CVE-2022-45061
IAVA: 2022-A-0467-S, 2023-A-0061-S