远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:1878 公告中提及的多个漏洞影响。

  - python-django：EmailValidator/URLValidator 中潜在的正则表达式拒绝服务漏洞 (CVE-2023-36053)

  - python-aiohttp：通过 llhttp HTTP 请求解析器触发的 http 请求走私漏洞 (CVE-2023-37276)

  - python-django：``django.utils.encoding.uri_to_iri()`` 中潜在的拒绝服务漏洞 (CVE-2023-41164)

  - python-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)

  - python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)

  - aiohttp：HTTP 请求修改 (CVE-2023-49081)

  - aiohttp：如果用户控制使用 aiohttp 客户端的 HTTP 方法，则发生 CRLF 注入 (CVE-2023-49082)

  - python-cryptography：加载 PKCS7 证书时发生空取消引用 (CVE-2023-49083)

  - jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时的 HTML 属性注入 (CVE-2024-22195)

  - aiohttp：follow_symlinks 目录遍历漏洞 (CVE-2024-23334)

  - python-ecdsa：容易受到 Minerva 攻击 (CVE-2024-23342)

  - python-aiohttp：http 请求走私 (CVE-2024-23829)

  - Django：“intcomma”模板过滤器中的拒绝服务 (CVE-2024-24680)

  - python-django：django.utils.text.Truncator.words() 可能会发生正则表达式拒绝服务 (CVE-2024-27351)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 8：RHUI 4.8 版本 - 安全更新、缺陷修复和增强（中等）(RHSA-2024:1878)

high Nessus 插件 ID 193467

版本 1.0