Python 3.5.8 ऐवजी, चुकीची आवृत्ती चुकून वितरित केली गेली

सामग्री वितरण प्रणालीमध्ये कॅशिंग आयोजित करताना त्रुटीमुळे, असेंब्लीपैकी एक डाउनलोड करण्याचा प्रयत्न करताना प्रकाशित काल सुधारात्मक प्रकाशनाच्या आदल्या दिवशी python ला 3.5.8 प्रसार पूर्वावलोकन बिल्ड ज्यामध्ये सर्व निराकरणे नाहीत. समस्या स्पर्श केला फक्त संग्रहण Python-3.5.8.tar.xz, असेंब्ली Python-3.5.8.tgz योग्यरित्या वितरित केले.

प्रकाशनानंतर पहिल्या 3.5.8 तासांत “Python-12.tar.xz” फाईल डाउनलोड केलेल्या सर्व वापरकर्त्यांना चेकसम (MD5 4464517ed6044bca4fc78ea9ed086c36) वापरून डाउनलोड केलेल्या डेटाची शुद्धता तपासण्याचा सल्ला दिला जातो. अंतिम प्रकाशनाच्या विपरीत, पूर्वावलोकन आवृत्ती समाविष्ट नाही दुरुस्ती असुरक्षा सीव्हीई- 2019-16935 XML-RPC सर्व्हर कोडमध्ये. कोन कंस सुटत नसल्यामुळे भेद्यतेने सर्व्हर_टायटल फील्डद्वारे JavaScript इंजेक्शन (XSS) ला अनुमती दिली. अॅप्लिकेशनने वापरकर्ता इनपुटवर आधारित सर्व्हरचे नाव सेट केल्यास आक्रमणकर्ता JavaScript प्रतिस्थापन मिळवू शकतो (उदाहरणार्थ, "server.set_server_name('test) ’)»).

स्त्रोत: opennet.ru