远程 Ubuntu 20.04 LTS / 22.04 LTS / 23.04 / 23.10 主机上安装的程序包受到 USN-6575-1 公告中提及的多个漏洞的影响。

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。从版本 0.9.4 开始，当主机标头与配置的主机不匹配时，“twisted.web.vhost.NameVirtualHost”将返回“NoResource”资源，该资源将主机标头呈现为未转义的 404 响应，从而允许 HTML 和脚本注入。
    在实践中，该漏洞应该很难被攻击者利用，因为能够修改正常 HTTP 请求的主机标头意味着用户已经处于特权位置。此问题已在版本 22.10.0rc1 中修复。没有已知的变通方案。(CVE-2022-39348)

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。在 23.10.0rc1 版本之前，当在一个 TCP 数据包中发送多个 HTTP 请求时，twisted.web 将异步处理请求，而不保证响应顺序。如果其中一个端点由攻击者控制，则当受害者使用 HTTP 管道发起两个请求时，攻击者可以故意延迟响应以操纵第二个请求的响应。23.10.0rc1 版本包含针对此问题的补丁。(CVE-2023-46137)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该应用程序受到 ALAS2023-2023-432 公告中提及的漏洞的影响。

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。在 23.10.0rc1 版本之前，当在一个 TCP 数据包中发送多个 HTTP 请求时，twisted.web 将异步处理请求，而不保证响应顺序。如果其中一个端点由攻击者控制，则当受害者使用 HTTP 管道发起两个请求时，攻击者可以故意延迟响应以操纵第二个请求的响应。23.10.0rc1 版本包含针对此问题的补丁。(CVE-2023-46137)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:1516 公告中提及的一个漏洞影响。

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。在 23.10.0rc1 版本之前，当在一个 TCP 数据包中发送多个 HTTP 请求时，twisted.web 将异步处理请求，而不保证响应顺序。如果其中一个端点由攻击者控制，则当受害者使用 HTTP 管道发起两个请求时，攻击者可以故意延迟响应以操纵第二个请求的响应。23.10.0rc1 版本包含针对此问题的补丁。(CVE-2023-46137)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:1518 公告中提及的一个漏洞影响。

  - Twisted 是基于事件的框架，适用于 Internet 应用程序。在 23.10.0rc1 版本之前，当在一个 TCP 数据包中发送多个 HTTP 请求时，twisted.web 将异步处理请求，而不保证响应顺序。如果其中一个端点由攻击者控制，则当受害者使用 HTTP 管道发起两个请求时，攻击者可以故意延迟响应以操纵第二个请求的响应。23.10.0rc1 版本包含针对此问题的补丁。(CVE-2023-46137)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的程序包受到 RHSA-2024:1640 公告中提及的多个漏洞影响。

  - golang: net/http/internal：通过引起资源消耗的 HTTP 请求造成拒绝服务 (DoS) (CVE-2023-39326)

  - GitPython：盲目包含本地文件 (CVE-2023-41040)

  - axios：cookie 中存储的机密数据被泄露 (CVE-2023-45857)

  - python-twisted：twisted.web 中存在无序 HTTP 管道响应 (CVE-2023-46137)

  - python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)

  - python-cryptography：加载 PKCS7 证书时发生空取消引用 (CVE-2023-49083)

  - golang-fips/openssl：用于加密和解密 RSA 负载的代码中存在内存泄漏 (CVE-2024-1394)

  - jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时的 HTML 属性注入 (CVE-2024-22195)

  - aiohttp：follow_symlinks 目录遍历漏洞 (CVE-2024-23334)

  - python-aiohttp：http 请求走私 (CVE-2024-23829)

  - Django：“intcomma”模板过滤器中的拒绝服务 (CVE-2024-24680)

  - python-django：django.utils.text.Truncator.words() 可能会发生正则表达式拒绝服务 (CVE-2024-27351)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的程序包受到 RHSA-2024:0322 公告中提及的多个漏洞影响。

  - GitPython：盲目包含本地文件 (CVE-2023-41040)

  - python-twisted：twisted.web 中存在无序 HTTP 管道响应 (CVE-2023-46137)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
187918	Ubuntu 20.04 LTS / 22.04 LTS / 23.04 / 23.10：Twisted 漏洞 (USN-6575-1)	Nessus	Ubuntu Local Security Checks	2024/1/10	2024/1/10	medium
185716	Amazon Linux 2023：python3-twisted、python3-twisted+tls (ALAS2023-2023-432)	Nessus	Amazon Linux Local Security Checks	2023/11/15	2023/11/16	medium
192580	RHEL 8: Red Hat OpenStack Platform 16.1.9 (python-twisted) (RHSA-2024:1516)	Nessus	Red Hat Local Security Checks	2024/3/26	2024/6/4	medium
192583	RHEL 8: Red Hat OpenStack Platform 16.2.6 (python-twisted) (RHSA-2024:1518)	Nessus	Red Hat Local Security Checks	2024/3/26	2024/6/3	medium
193086	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2024:1640)	Nessus	Red Hat Local Security Checks	2024/4/9	2024/6/3	high
194438	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2024:0322)	Nessus	Red Hat Local Security Checks	2024/4/29	2024/6/3	medium

检测

插件搜索

medium

medium

medium

medium

high

medium