CVE-2024-6435:
pypa/setuptools 的 package_index 模組中發現了一個漏洞。受影響的版本允許攻擊者透過其下載函數遠端執行程式碼。這些函數用於從使用者提供的 URL 或從套件索引伺服器取得的 URL 下載軟體包，因此容易受到程式碼注入攻擊。如果這些函數暴露給使用者可控的輸入（例如軟體包 URL），攻擊者就可以在系統上執行任意命令。
CVE-2025-47273:
Python setuptools 庫中存在一個路徑遍歷漏洞，攻擊者可以利用該漏洞，在系統權限有限的情況下，透過篡改軟體包下載 URL，將檔案寫入預期臨時目錄之外。此漏洞繞過了基本的檔案名稱清理機制，可能導致重要係統檔案被未經授權的覆蓋，從而為進一步的攻擊創造機會。雖然該漏洞不會洩露資料或需要用戶交互，但它構成了極高的系統完整性風險，尤其在依賴自動化軟體包處理或基於 setuptools 構建的內部工具的環境中，更令人擔憂。
| CVE ID | CVSS v3 評分 | 嚴重性 | 安全漏洞類型 |
| CVE-2024-6345 | 8.8 | 高 | CWE-94 程式碼產生控制不當(程式碼注入) |
| CVE-2025-47273 | 7.1 | 中 | CWE-22 路徑名對受限目錄的限制不當(路徑遍歷) |
| CVE ID | 組件 | 系統 | 狀態 |
| CVE-2024-6345 | python3-setuptools | Red Hat Enterprise Linux 8 Red Hat Enterprise Linux 9 |
已修復 |
| CVE-2025-47273 | python3-setuptools | Red Hat Enterprise Linux 8 Red Hat Enterprise Linux 9 |
已修復 |
核心及套件完整更新
無
SCADA9 x86_64
SCADA8 x86_64