പൈത്തൺ 3.5.8-ന് പകരം, തെറ്റായ ഒരു പതിപ്പ് അബദ്ധത്തിൽ വിതരണം ചെയ്തു

അസംബ്ലികളിലൊന്ന് ഡൗൺലോഡ് ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ, കണ്ടൻ്റ് ഡെലിവറി സിസ്റ്റത്തിൽ കാഷിംഗ് ഓർഗനൈസ് ചെയ്യുമ്പോൾ ഒരു പിശക് കാരണം പ്രസിദ്ധീകരിച്ചു തലേദിവസം തിരുത്തൽ റിലീസ് പൈത്തൺ 3.5.8 വ്യാപനം എല്ലാ പരിഹാരങ്ങളും അടങ്ങാത്ത ഒരു പ്രിവ്യൂ ബിൽഡ്. പ്രശ്നം സ്പർശിച്ചു ആർക്കൈവ് മാത്രം പൈത്തൺ-3.5.8.tar.xz, അസംബ്ലി പൈത്തൺ-3.5.8.tgz ശരിയായി വിതരണം ചെയ്തു.

റിലീസിന് ശേഷം ആദ്യത്തെ 3.5.8 മണിക്കൂറിനുള്ളിൽ "Python-12.tar.xz" ഫയൽ ഡൗൺലോഡ് ചെയ്ത എല്ലാ ഉപയോക്താക്കളും ചെക്ക്സം (MD5 4464517ed6044bca4fc78ea9ed086c36) ഉപയോഗിച്ച് ഡൗൺലോഡ് ചെയ്ത ഡാറ്റയുടെ കൃത്യത പരിശോധിക്കാൻ നിർദ്ദേശിക്കുന്നു. അവസാന പതിപ്പിൽ നിന്ന് വ്യത്യസ്തമായി, പ്രിവ്യൂ പതിപ്പ് ഉൾപ്പെടുത്തിയിട്ടില്ല തിരുത്തൽ പരാധീനതകൾ CVE-2019-16935 XML-RPC സെർവർ കോഡിൽ. ആംഗിൾ ബ്രാക്കറ്റ് എസ്കേപ്പിംഗിൻ്റെ അഭാവം മൂലം സെർവർ_ടൈറ്റിൽ ഫീൽഡിലൂടെ JavaScript ഇഞ്ചക്ഷൻ (XSS) അനുവദിച്ചു. ഉപയോക്തൃ ഇൻപുട്ടിനെ അടിസ്ഥാനമാക്കി ആപ്ലിക്കേഷൻ സെർവർ നാമം സജ്ജീകരിക്കുകയാണെങ്കിൽ ഒരു ആക്രമണകാരിക്ക് JavaScript പകരം വയ്ക്കാൻ കഴിയും (ഉദാഹരണത്തിന്, "server.set_server_name('test' test). ’)»).

അവലംബം: opennet.ru