建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
近日，Python 軟件基金會(huì)（PSF）釋出 Python 3.8.8 和 3.9.2 版本，該版本主要修復(fù)了兩個(gè)值得注意的安全漏洞，其中一個(gè)名為“CVE-2021-3177”的漏洞容易被攻擊者遠(yuǎn)程利用，基于代碼執(zhí)行可讓計(jì)算機(jī)脫機(jī)。
創(chuàng)新互聯(lián)公司是一家朝氣蓬勃的網(wǎng)站建設(shè)公司。公司專(zhuān)注于為企業(yè)提供信息化建設(shè)解決方案。從事網(wǎng)站開(kāi)發(fā)，網(wǎng)站制作，網(wǎng)站設(shè)計(jì)，網(wǎng)站模板，微信公眾號(hào)開(kāi)發(fā)，軟件開(kāi)發(fā)，微信小程序，10多年建站對(duì)成都軟裝設(shè)計(jì)等多個(gè)領(lǐng)域，擁有豐富的營(yíng)銷(xiāo)推廣經(jīng)驗(yàn)。
乍一看，讓計(jì)算機(jī)脫機(jī)并不是什么大事，不過(guò)，倘若真的被有心之人利用該漏洞，那么，使用 Python 的用戶(hù)難免會(huì)有一段糟心的體驗(yàn)。
對(duì)此，在 Python 3.8.8 和或 3.9.2 RC 版本剛剛發(fā)布三天之后，在部分用戶(hù)對(duì)安全漏洞擔(dān)憂的壓力下，新版 Python 加快了發(fā)布的進(jìn)程。同時(shí)，PSF 敦促 Python 用戶(hù)盡快將系統(tǒng)升級(jí)到 Python 3.8.8 或 3.9.2，特別是需要解決被跟蹤為 CVE-2021-3177 的遠(yuǎn)程代碼執(zhí)行（RCE）漏洞。
Python 發(fā)布團(tuán)隊(duì)表示："自從宣布 Python 3.8.8 和 3.9.2 RC 版本發(fā)布以來(lái)，我們收到了來(lái)自終端用戶(hù)的一些關(guān)于 CVE-2021-3177 安全方面的詢(xún)問(wèn)，并敦促我們加快最終版本的發(fā)布?！?/p>
具體的漏洞在于，Python 3.x 到 3.9.1 的 ctypes/callproc.c 中 PyCArg_repr 具有緩沖溢出，這可能導(dǎo)致遠(yuǎn)程代碼執(zhí)行。
它也會(huì)影響到 "接受浮點(diǎn)數(shù)作為不信任的輸入的 Python 應(yīng)用程序，如 c_double. param 的 1e300 參數(shù)所示。
該 Bug 的發(fā)生是因?yàn)椴话踩厥褂昧?sprintf"。影響之所以廣泛，因?yàn)?Python 已預(yù)裝安裝到了多個(gè) Linux 發(fā)行版和 Windows 10 系統(tǒng)中。
當(dāng)前，各種 Linux 發(fā)行版（如 Debian）已經(jīng)向后移植了安全補(bǔ)丁，以確保屏蔽內(nèi)置版本的 Python。
RedHat 也發(fā)布公告表示，該漏洞是常見(jiàn)的內(nèi)存缺陷?！霸?Python 內(nèi)提供的 ctypes 模塊中發(fā)現(xiàn)了基于堆棧的緩沖區(qū)溢出。使用 ctypes 而不仔細(xì)驗(yàn)證傳遞給它的輸入的應(yīng)用程序可能容易受到此漏洞的攻擊，這將允許攻擊者通過(guò)緩沖區(qū)溢出并使應(yīng)用程序奔潰?！?/p>
同時(shí)紅帽也針對(duì)自家的版本進(jìn)行了安全版本說(shuō)明：
雖然遠(yuǎn)程代碼執(zhí)行漏洞是一則壞消息，不過(guò)，紅帽官方指出這個(gè)漏洞帶來(lái)的最大威脅是對(duì)系統(tǒng)可用性的威脅，這意味著攻擊者可能只能發(fā)動(dòng)拒絕服務(wù)攻擊，簡(jiǎn)單來(lái)講，就是讓計(jì)算機(jī)停止提供服務(wù)。
不過(guò)，為了避免一些不必要的麻煩，還是呼吁大家盡快升級(jí)。
- Python 新版下載地址：https://www.python.org/downloads/
分享題目：Python被爆大Bug，攻擊者可遠(yuǎn)程代碼執(zhí)行漏洞！
分享地址：http://m.5511xx.com/article/dpoijip.html
