შეცდომით Python 3.5.8-ის ნაცვლად არასწორი ვერსია გავრცელდა

კონტენტის მიწოდების სისტემაში ქეშირების ორგანიზებისას შეცდომის გამო, ერთ-ერთი ასამბლეის ჩამოტვირთვის მცდელობისას გამოქვეყნებულია გუშინდელი მაკორექტირებელი გამოშვება Python 3.5.8 გავრცელება გადახედვის კონსტრუქცია, რომელიც არ შეიცავს ყველა შესწორებას. პრობლემა შეეხო მხოლოდ არქივი Python-3.5.8.tar.xz, შეკრება პითონი-3.5.8.ტგზ სწორად განაწილებული.

ყველა მომხმარებელს, რომლებმაც ჩამოტვირთეს ფაილი „Python-3.5.8.tar.xz“ გამოშვებიდან პირველი 12 საათის განმავლობაში, ურჩევენ შეამოწმონ გადმოწერილი მონაცემების სისწორე საკონტროლო ჯამის გამოყენებით (MD5 4464517ed6044bca4fc78ea9ed086c36). საბოლოო გამოშვებისგან განსხვავებით, წინასწარი ვერსია არ მოიცავდა კორექტირება სისუსტეები CVE-2019-16935 XML-RPC სერვერის კოდში. დაუცველობამ დაუშვა JavaScript-ის ინექცია (XSS) server_title ველში, კუთხის ფრჩხილის არარსებობის გამო. თავდამსხმელს შეუძლია JavaScript-ის ჩანაცვლება, თუ აპლიკაცია დააყენებს სერვერის სახელს მომხმარებლის შეყვანის საფუძველზე (მაგალითად, "server.set_server_name('test')").

წყარო: opennet.ru