Python 3.5.8 को सट्टा, गलत संस्करण गल्तीद्वारा वितरित गरिएको थियो

सामग्री वितरण प्रणालीमा क्यासिङ व्यवस्थित गर्दा त्रुटिको कारणले गर्दा, कुनै एकलाई डाउनलोड गर्ने प्रयास गर्दा प्रकाशित हिजो सुधारात्मक रिलीजको अघिल्लो दिन अजगर 3.5.8 फिंजाउनु सबै फिक्सहरू समावेश नगर्ने पूर्वावलोकन निर्माण। समस्या छोयो अभिलेख मात्र Python-3.5.8.tar.xz, सभा Python-3.5.8.tgz सही रूपमा वितरित।

रिलिज भएको पहिलो १२ घण्टामा फाइल "Python-3.5.8.tar.xz" डाउनलोड गर्ने सबै प्रयोगकर्ताहरूलाई चेकसम (MD12 5ed4464517bca6044fc4ea78ed9c086) प्रयोग गरेर डाउनलोड गरिएको डाटाको शुद्धता जाँच गर्न सल्लाह दिइन्छ। अन्तिम रिलीजको विपरीत, पूर्वावलोकन संस्करण समावेश गरिएको छैन सुधार कमजोरीहरू CVE-2019-16935 XML-RPC सर्भर कोडमा। कोण कोष्ठक एस्केपिङको कमीको कारणले गर्दा सर्भर_टाइटल फिल्ड मार्फत भेद्यताले JavaScript इंजेक्शन (XSS) लाई अनुमति दियो। यदि एप्लिकेसनले प्रयोगकर्ता इनपुटको आधारमा सर्भर नाम सेट गर्छ भने आक्रमणकारीले JavaScript प्रतिस्थापन हासिल गर्न सक्छ (उदाहरणका लागि, "server.set_server_name('test')")।

स्रोत: opennet.ru