KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2018-1000802 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Python Software Foundation Python (CPython)版本2.7包含CWE-77：shutil模块(make_archive函数)中命令('命令注入')漏洞中使用的特殊元素的不正当中和，可导致拒绝服务，通过注入获取信息系统或整个驱动器上的任意文件。这种攻击似乎可以通过未经过滤的用户输入传递给函数来利用。在提交add531a1e55b0a739b0f42582f1c9747e5649ace之后，此漏洞似乎已得到修复。
影响范围
应用：python python（版本 2.7.0）
系统：debian_10 python2.7（影响面 Up to (excluding) 2.7.15-5）
系统：debian_11 python2.7（影响面 Up to (excluding) 2.7.15-5）
系统：fedora_27 python（影响面 Up to (excluding) 2.7.15-3.fc27）
系统：fedora_28 python（影响面 Up to (excluding) 2.7.15-3.fc28）
系统：fedora_29 python2-t（影响面 Up to (excluding) 2.7.15-10.fc29）
系统：opensuse_Leap_15.0 python（影响面 Up to (excluding) 2.7.14-lp150.6.3.2）
系统：opensuse_Leap_15.1 python3（影响面 Up to (excluding) 3.6.10-lp151.6.7.1）
……另有 7 项受影响环境，详见官方公告
解决方案
安装官方补丁
参考信息
http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00040.html
https://bugs.python.org/issue34540
https://github.com/python/cpython/pull/8985
https://github.com/python/cpython/pull/8985/commits/add531a1e55b0a739b0f42582f1c9747e5649ace
https://lists.debian.org/debian-lts-announce/2018/09/msg00030.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。