1. 漏洞描述

werkzeug 德语名词：意为“工具”。词源：werk（“工作”），zeug（“材料”）
Werkzeug 是一个全面的 WSGI_ Web 应用库。它最初只是 WSGI 应用的各种实用工具集合，如今已成为最先进的 WSGI 工具库之一。其功能包括：

交互式调试器：可在浏览器中检查堆栈轨迹和源代码，并对堆栈中的任意帧启动交互式解释器。

全功能请求对象：提供操作请求头、查询参数、表单数据、文件和 Cookie 的接口。

响应对象：可封装其他 WSGI 应用并处理流式数据。

路由系统：支持 URL 到端点的匹配及端点 URL 生成，并具备可扩展的 URL 变量捕获机制。

HTTP 工具集：处理实体标签、缓存控制、日期、用户代理、Cookie、文件等。

多线程 WSGI 服务器：用于本地开发环境。

测试客户端：无需启动服务器即可模拟 HTTP 请求进行测试。

Werkzeug 不强制任何依赖，开发者可自由选择模板引擎、数据库适配器甚至请求处理方式。它可用于构建博客、维基或论坛等各种终端用户应用。Flask_ 框架基于 Werkzeug 构建，利用其处理 WSGI 底层细节，同时为定义复杂应用提供更高层结构和模式。

安全修复：

Werkzeug 是一个 Web 服务器网关接口（WSGI）应用库。使用早于 3.0.6 版本的 werkzeug.formparser.MultiPartParser 解析 multipart/form-data 请求的应用（例如所有 Flask 应用）存在相对简单但有效的资源耗尽（拒绝服务）攻击漏洞。特制的表单提交请求可导致解析器分配并阻塞相当于上传数据量 3 至 8 倍的主内存，且无上限限制——以 1 Gbit/s 速度上传时，60 秒内即可耗尽 32 GB 内存。Werkzeug 3.0.6 版本已修复该问题。(CVE-2024-49767)

2. 影响范围

3. 影响组件

4. 修复版本

5. 修复方法

方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm

方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名

6. 下载链接

KY3.5.3:

x86_64:

     python-werkzeug-help   

     python3-werkzeug   

aarch64:

     python-werkzeug-help   

     python3-werkzeug