Python 3.5.8 o'rniga xatolik tufayli noto'g'ri versiya tarqatildi

Kontentni etkazib berish tizimida keshlashni tashkil qilishda, yig'ilishlardan birini yuklab olishga urinayotganda xatolik tufayli nashr etildi kechagi tuzatuvchi relizdan bir kun oldin Python 3.5.8 tarqalish Barcha tuzatishlarni o'z ichiga olmaydi, oldindan ko'rish tuzilishi. Muammo ta'sirlangan faqat arxiv Python-3.5.8.tar.xz, yig'ish Python-3.5.8.tgz to'g'ri taqsimlangan.

Chiqarilgandan keyingi dastlabki 3.5.8 soat ichida "Python-12.tar.xz" faylini yuklab olgan barcha foydalanuvchilarga nazorat summasi (MD5 4464517ed6044bca4fc78ea9ed086c36) yordamida yuklab olingan ma'lumotlarning to'g'riligini tekshirish tavsiya etiladi. Yakuniy versiyadan farqli o'laroq, oldindan ko'rish versiyasi o'z ichiga olmagan tuzatish zaifliklar CVE-2019-16935 XML-RPC server kodida. Zaiflik server_title maydoni orqali JavaScript in'ektsiyasiga (XSS) ruxsat berdi, chunki burchakli qavsdan qochish mumkin edi. Agar ilova foydalanuvchi kiritgan maʼlumotlar asosida server nomini oʻrnatsa, tajovuzkor JavaScript-ni almashtirishga erisha oladi (masalan, “server.set_server_name('test) ’)»).

Manba: opennet.ru