Erscheinungsdatum: 6. Juni 2023

Dies ist eine Sicherheitsveröffentlichung von Python 3.8

Hinweis: Die hier angezeigte Version ist Python 3.8.17, eine Sicherheits-Bugfix-Veröffentlichung für die ältere 3.8-Serie. Python 3.11 ist jetzt die neueste Feature-Release-Serie von Python 3. Holen Sie sich hier die neueste Version von 3.11.x.

Sicherheitsinhalte dieser Veröffentlichung

• gh-103142: Die in den Windows- und Mac-Installern verwendete OpenSSL-Version wurde auf 1.1.1u aktualisiert, um CVE-2023-2650, CVE-2023-0465, CVE-2023-0466, CVE-2023-0464 sowie CVE-2023-0286, CVE-2022-4303 und CVE-2022-4303, die zuvor in 1.1.1t behoben wurden (gh-101727), zu adressieren.
• gh-102153: urllib.parse.urlsplit() entfernt nun führende C0-Steuerzeichen und Leerzeichen gemäß der Spezifikation für URLs, die von WHATWG definiert wurden, als Reaktion auf CVE-2023-24329.
• gh-99889: Ein Sicherheitsproblem in uu.decode() wurde behoben, das bei Eingaben ohne Angabe von out_file zu Verzeichnisübergreifungen führen konnte.
• gh-104049: Die lokale Position auf der Festplatte wird in den von http.client.SimpleHTTPRequestHandler erzeugten Verzeichnisindizes nicht mehr angezeigt.
• gh-103935: trace.__main__ verwendet nun io.open_code() für auszuführende Dateien anstelle des rohen open().
• gh-101283: subprocess.Popen verwendet jetzt einen sichereren Ansatz, um cmd.exe zu finden, wenn mit shell=True gestartet wird.
• gh-102953: Die Extraktionsmethoden in tarfile und shutil.unpack_archive() verfügen über ein neues Argument filter, das die Einschränkung von tar-Funktionen ermöglicht, die überraschend oder gefährlich sein können, z. B. das Erstellen von Dateien außerhalb des Zielverzeichnisses. Weitere Details finden Sie unter Extraktionsfilter.

Keine Installer

Gemäß dem Veröffentlichungskalender in PEP 569 befindet sich Python 3.8 nun in der Phase "nur Sicherheitsupdates" seines Lebenszyklus: Der 3.8-Zweig akzeptiert nur noch Sicherheitsupdates, und diese werden unregelmäßig nur in Form von Quellcode veröffentlicht, bis Oktober 2024. Python 3.8 erhält keine regelmäßigen Bugfixes mehr, und binäre Installer werden dafür nicht mehr bereitgestellt. Python 3.8.10 war die letzte vollständige Bugfix-Veröffentlichung von Python 3.8 mit binären Installern.

Vollständiges Changelog