發行日期：2022 年 12 月 6 日

這是 Python 3.7 的安全性更新版本

注意：您目前查看的版本是舊版 3.7 系列的安全性錯誤修復版本，該系列現已達到生命週期終點 (end-of-life)，不再提供支援。請參閱下載頁面以獲取目前支援的 Python 版本。Python 3.7 的最終安全性錯誤修復版本為 3.7.17。

此版本中的安全性內容

• gh-98739：將內建的 libexpat 更新至 2.5.0，以修復 CVE-2022-43680（堆積使用後釋放漏洞，heap use-after-free）。
• gh-98517：移植 XKCP 對 SHA-3 緩衝區溢位問題的修復，以解決 CVE-2022-37454。
• gh-98433：由 socket 或 asyncio 相關名稱解析函式在 DNS 主機名稱上所使用的 IDNA 編解碼器解碼器，不再採用二次演算法，以修復 CVE-2022-45061。這能防止在解碼包含雙向字元的非標準超長主機名稱時，可能引發的 CPU 拒絕服務攻擊。某些通訊協定（例如 urllib 的 http 3xx 重新導向）可能會讓攻擊者有機會提供此類名稱。
• gh-68966：已被棄用的 mailcap 模組現在會拒絕將不安全的文字（如檔名、MIME 類型、參數）注入至 shell 指令中，以解決 CVE-2015-20107。若遇到此類文字，它將發出警告並採取類似於「未找到匹配項」的處理方式（針對測試指令，則會視同測試失敗）。
• gh-100001：python -m http.server 不再允許在無效請求中夾帶的終端機控制字元被列印至 stderr 伺服器日誌中。

無安裝程式

根據 PEP 537 中規定的發行時程表，Python 3.7 目前已進入其生命週期的「僅限安全性修復」階段：3.7 分支僅接受安全性修復，並以僅包含原始碼的形式不定期發行，直至 2023 年 6 月。Python 3.7 不再接收常規錯誤修復，也不再提供二進位安裝程式。Python 3.7.9 是 Python 3.7 最後一個包含二進位安裝程式的完整錯誤修復版本。

完整變更日誌