摘要:
python-flask security update
安全等级: High
公告ID: KylinSec-SA-2023-1876
发布日期: 2023年12月15日
关联CVE: CVE-2023-30861
Flask 是一个轻量级的 WSGI Web 应用框架。它被设计为使初学者能够迅速且容易地开始使用，并具备扩展到复杂应用的能力。它最初是作为 Werkzeug 和 Jinja 的一个简单封装而创建的，现已成为最受欢迎的 Python Web 应用框架之一。
安全修复：
Flask 是一个轻量级的 WSGI Web 应用框架。当满足以下所有条件时，原本打算发送给一个客户端的数据可能会被缓存，并随后由代理发送给其他客户端。如果代理也缓存了 Set-Cookie 头，它可能会将一个客户端的 session cookie 发送给其他客户端。该问题的严重性取决于应用对会话的使用情况以及代理对 cookie 的处理方式。风险取决于所有这些条件的满足。
应用必须部署在不会剥离 cookie 或忽略包含 cookie 的响应的缓存代理之后。
应用设置了 session.permanent = True。
应用在请求过程中的任何时刻都没有访问或修改会话。
启用了 SESSION_REFRESH_EACH_REQUEST（默认设置）。
应用没有设置 Cache-Control 头来指示页面是私有的或不应被缓存。
这种情况发生的原因是，Flask 的易受攻击版本仅在访问或修改会话时才设置 Vary: Cookie 头，而在没有访问或修改会话但仅刷新（重新发送以更新过期时间）会话时则不设置。此问题已在版本 2.3.2 和 2.2.5 中得到修复。（CVE-2023-30861）
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2023-30861 | KY3.4-4A | python-flask | Fixed |
| CVE-2023-30861 | KY3.4-5A | python-flask | Fixed |
| CVE-2023-30861 | KY3.5.1 | python-flask | Fixed |
| CVE-2023-30861 | KY3.5.2 | python-flask | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python3-flask | noarch | 1.1.2-4.kb3.ky3_5 |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python2-flask | noarch | 1.1.2-5.kb1.ky3_4 |
| python3-flask | noarch | 1.1.2-5.kb1.ky3_4 |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python2-flask | noarch | 1.1.2-5.kb1.ky3_4 |
| python3-flask | noarch | 1.1.2-5.kb1.ky3_4 |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python3-flask | noarch | 2.1.2-4.ky3_5 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
