Python 3.8.5 atjauninājums ar labotu ievainojamību

Опубликовано programmēšanas valodas Python 3.8.5 koriģējošais atjauninājums, kurā likvidēta vairākas ievainojamības:

• CVE-2019-20907 — tarfile moduļa cilpa, mēģinot atvērt speciāli izstrādātus failus tar formātā.
• BPO-41288 — avārija, kad Pickle modulis mēģina apstrādāt objektus ar īpaši izstrādātu opkodu NEWOBJ_EX.
• CVE-2020-15801 — iespēja aizvietot HTTP galvenes pieprasījumā, izmantojot jaunas rindiņas rakstzīmes http.client moduļa parametrā “metode”. Piemēram: conn.request(method=”GET / HTTP/1.1\r\nHost: abc\r\nRemainder:”, url=”/index.html”). Ievainojamība iepriekš tika novērsta, taču tā neaptvēra http.client.putrequest metodes drošību.

Avots: opennet.ru