Python 3.9.3 & 3.8.9 发布

Python 3.9.3 & 3.8.9 现已发布，由于安全修复的原因，这些版本的发布时间比计划提前了一个月，但 Python 3.8 的最后一个完整的定期维护版本仍然计划在2021 年 5 月 3 日发布，之后将转为只针对安全 bug 修复的源码发布，3.9.3也计划在 2021 年 5 月 3 日发布。

主要更新内容

• 3.9.3 & 3.8.9
  • 发布了 OpenSSL 的高严重性 CVE-2021-3449 和 CVE-2021-3450 修复，已经在 CI 中升级到 1.1.1k
  • CVE-2021-3426：删除 pydoc 模块的 getfile 功能，该功能可被滥用，以读取磁盘上的任意文件（目录遍历漏洞）。此外，即使是 Python 模块的源代码也可能包含密码等敏感数据
  • ftplib 不再相信默认情况下服务器响应 PASV 命令返回的 IP 地址值。这可以防止恶意的 FTP 服务器使用响应来探测客户端网络上的 IPv4 地址和端口组合
  • 为 gc.get_objects()、gc.get_referrers() 和 gc.get_referents() 增加审计钩子
  • 修复将 sys.stderr 替换为可调用对象时发生的崩溃
  • 如果命令行参数包含一个无效的 Unicode 字符，Python 不再在启动时出现致命错误。Py_DecodeLocale() 函数现在可以转义那些在 [U+0000; U+10ffff] 范围之外的 Unicode 字符的字节序列
  • 修复 PyErr_CheckSignals 试图执行非 Python 信号处理程序时可能出现的竞争情况
• 3.9.3
  • 报告 SyntaxError 的列偏移量，用于处理无效的续行字符
  • 修复在使用 from pkg.mod import attr 时对循环导入的错误检测，这在多线程代码中会导致误报
  • 改进对接近递归极限的异常的处理。转换 RecursionErrors 中的一些Fatal Errors
• 3.8.9
  • 修复将 ssl.SSLContext.sni_callback（）与ssl.SSLContext调试回调一起使用时的死锁
  • 修复了 smtplib.SMTP 中长期存在的错误，即在 initial_response_ok=False 的情况下进行 AUTH LOGIN 会失败

详情请查看更新公告。