近日蛔外，Python 軟件基金會（PSF）釋出 Python3.8.8?和?3.9.2??版本冀值，該版本主要修復(fù)了兩個值得注意的安全漏洞，其中一個名為“CVE-2021-3177”的漏洞容易被攻擊者遠程利用叛赚，基于代碼執(zhí)行可讓計算機脫機澡绩。
乍一看，讓計算機脫機并不是什么大事红伦，不過英古，倘若真的被有心之人利用該漏洞，那么昙读，使用 Python 的用戶難免會有一段糟心的體驗召调。
對此，在 Python3.8.8?和或?3.9.2?RC 版本剛剛發(fā)布三天之后蛮浑，在部分用戶對安全漏洞擔憂的壓力下唠叛，新版 Python 加快了發(fā)布的進程。同時沮稚，PSF 敦促 Python 用戶盡快將系統(tǒng)升級到 Python 3.8.8 或 3.9.2艺沼，特別是需要解決被跟蹤為 CVE-2021-3177 的遠程代碼執(zhí)行（RCE）漏洞。
Python 發(fā)布團隊表示："自從宣布 Python 3.8.8 和 3.9.2 RC 版本發(fā)布以來蕴掏，我們收到了來自終端用戶的一些關(guān)于?CVE-2021-3177?安全方面的詢問障般，并敦促我們加快最終版本的發(fā)布∈⒔埽”
具體的漏洞在于挽荡，Python 3.x 到 3.9.1 的 ctypes/callproc.c 中 PyCArg_repr 具有緩沖溢出，這可能導(dǎo)致遠程代碼執(zhí)行即供。
它也會影響到?"接受浮點數(shù)作為不信任的輸入的 Python 應(yīng)用程序定拟，如?c_double. param 的1e300 參數(shù)所示。
該 Bug 的發(fā)生是因為不安全地使用了"sprintf"逗嫡。影響之所以廣泛青自，因為 Python 已預(yù)裝安裝到了多個 Linux 發(fā)行版和 Windows 10 系統(tǒng)中。
當前驱证，各種 Linux 發(fā)行版（如 Debian）已經(jīng)向后移植了安全補丁延窜，以確保屏蔽內(nèi)置版本的 Python。
RedHat 也發(fā)布公告表示抹锄，該漏洞是常見的內(nèi)存缺陷需曾。“在 Python 內(nèi)提供的 ctypes 模塊中發(fā)現(xiàn)了基于堆棧的緩沖區(qū)溢出。使用 ctypes 而不仔細驗證傳遞給它的輸入的應(yīng)用程序可能容易受到此漏洞的攻擊呆万，這將允許攻擊者通過緩沖區(qū)溢出并使應(yīng)用程序奔潰商源。”
同時紅帽也針對自家的版本進行了安全版本說明：
雖然遠程代碼執(zhí)行漏洞是一則壞消息谋减，不過牡彻，紅帽官方指出這個漏洞帶來的最大威脅是對系統(tǒng)可用性的威脅，這意味著攻擊者可能只能發(fā)動拒絕服務(wù)攻擊出爹，簡單來講庄吼，就是讓計算機停止提供服務(wù)。
不過严就，為了避免一些不必要的麻煩总寻，還是呼吁大家盡快升級。
Python 新版下載地址：https://www.python.org/downloads/
