發行日期：2023 年 6 月 6 日

這是 Python 3.8 的安全性更新版本

注意：您目前查看的版本為 Python 3.8.17，這是針對舊版 3.8 系列的安全性錯誤修復版本。Python 3.11 目前為 Python 3 最新的功能發行系列。請在此處取得最新的 3.11.x 版本。

此版本中的安全性內容

• gh-103142：用於 Windows 和 Mac 安裝程式的 OpenSSL 版本已升級至 1.1.1u，以解決 CVE-2023-2650、CVE-2023-0465、CVE-2023-0466、CVE-2023-0464 以及先前在 1.1.1t (gh-101727) 中修復的 CVE-2023-0286、CVE-2022-4303 與 CVE-2022-4303 等漏洞。
• gh-102153：為回應 CVE-2023-24329，urllib.parse.urlsplit() 現已依照 WHATWG 定義的 URL 規範，移除開頭的 C0 控制字元與空白字元。
• gh-99889：修復了 uu.decode() 中的一個安全性漏洞，該漏洞在未指定 out_file 的情況下，可能允許攻擊者根據輸入內容進行目錄遍歷 (directory traversal)。
• gh-104049：在 http.client.SimpleHTTPRequestHandler 產生的目錄索引中，不再公開本地磁碟的檔案路徑。
• gh-103935：trace.__main__ 現在針對待執行檔案使用 io.open_code()，而非原始的 open()。
• gh-101283：當使用 shell=True 啟動時，subprocess.Popen 現在採用更安全的方法來尋找 cmd.exe。
• gh-102953：tarfile 中的解壓縮方法以及 shutil.unpack_archive() 新增了一個 filter 引數，該引數允許限制可能造成意外或危險的 tar 功能，例如在目標目錄之外建立檔案。詳情請參閱 解壓縮篩選器 (Extraction filters)。

無安裝程式

根據 PEP 569 中指定的發布時程表，Python 3.8 目前處於生命週期的「僅限安全性修復（security fixes only）」階段：3.8 分支僅接受安全性修復，且在 2024 年 10 月之前會不定期以「僅限原始碼（source-only）」的形式發布。Python 3.8 不再接收一般的錯誤修復，且不再提供二進位安裝程式（binary installers）。Python 3.8.10 是 Python 3.8 最後一個提供二進位安裝程式的完整錯誤修復版本（bugfix release）。

完整變更日誌