釋出日期： 2022 年 12 月 6 日

這是 Python 3.8 的安全版本

注意： 您正在檢視的版本是 Python 3.8.16，這是針對舊版 3.8 系列的安全漏洞修復版本。Python 3.11 現在是 Python 3 的最新功能釋出系列。 在此處獲取 3.11.x 的最新版本。

此版本中的安全內容

• gh-98739: 更新了捆綁的 libexpat 到 2.5.0 以修復 CVE-2022-43680（堆記憶體釋放後使用）。
• gh-98517: 移植了 XKCP 對 SHA-3 中緩衝區溢位的修復，以修復 CVE-2022-37454。
• gh-98433: socket 或 asyncio 相關名稱解析函式在 DNS 主機名上使用的 IDNA 編解碼器解碼器不再涉及二次演算法來修復 CVE-2022-45061。這可以防止在解碼涉及雙向字元的超出規格的過長主機名時出現潛在的 CPU 拒絕服務。某些協議（如 urllib http 3xx 重定向）可能會允許攻擊者提供這樣的名稱。
• gh-68966: 已棄用的 mailcap 模組現在拒絕將不安全的文字（檔名、MIME 型別、引數）注入到 shell 命令中，以解決 CVE-2015-20107。它不會使用此類文字，而是會發出警告，並表現得好像沒有找到匹配項（或者對於測試命令，表現得好像測試失敗）。
• gh-100001: python -m http.server 不再允許將垃圾請求中傳送的終端控制字元列印到 stderr 伺服器日誌中。
• gh-87604: 避免透過 gc 模組釋出每個直譯器活動的審計掛鉤列表。

沒有安裝程式

根據 PEP 569 中指定的釋出日曆，Python 3.8 現在處於其生命週期的“僅安全修復”階段：3.8 分支僅接受安全修復，並且這些修復以僅原始碼形式不定期釋出，直到 2024 年 10 月。Python 3.8 不再接收常規錯誤修復，並且不再為其提供二進位制安裝程式。Python 3.8.10 是帶有二進位制安裝程式的 Python 3.8 的最後一個完整錯誤修復版本。

完整變更日誌