Amazon Linux 2：python3-jinja2 (ALAS-2024-2573)

medium Nessus 插件 ID 200898

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 python3-jinja2 版本低于 2.7.2-4。因此，该应用程序受到 ALAS2-2024-2573 公告中提及的一个漏洞影响。

Jinja 是可扩展的模板引擎。受影响的 Jinja 版本中的“xmlattr”过滤器接受包含非属性字符的密钥。XML/HTML 属性不能包含空格、/、> 或 =，因为这些字符都会被解释为开始一个单独的属性。如果应用程序接受密钥（而不是仅接受值）作为用户输入内容，并在其他用户也能看到的页面中呈现这些输入内容，则攻击者可利用此问题注入其他属性和发起 XSS 攻击。 CVE-2024-22195 的补丁仅解决空格，未解决其他字符。接受密钥作为用户输入内容现在被明确视为“xmlattr”过滤器的非预期用例，无论 Jinja 是什么版本，即接受密钥作为用户输入内容且未验证输入内容的代码均应被标记为不安全代码。接受值作为用户输入内容仍然是安全的做法。此漏洞已在 3.1.4 中修复。(CVE-2024-34064)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。