したがって、ALAS2023-2023-252 のアドバイザリに記載されている脆弱性の影響を受けます。

  - 3.11.3までの Python の email モジュールでは、特殊文字を含むメールアドレスが不適切に解析されます。RFC2822ヘッダーの誤った部分が、addr-spec の値として識別されます。一部のアプリケーションでは、攻撃者は特定のドメインへの電子メールの受信を検証した後にのみアプリケーションのアクセスが許可される保護メカニズムをバイパスできます (たとえば、@company.example.com アドレスのみがサインアップに使用される場合)。これは最近のバージョンの Python の email/_parseaddr.py で発生します。(CVE-2023-27043)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : python3.11、python3.11-devel、python3.11-idle (ALAS2023-2023-252)

medium Nessus プラグイン ID 178603

バージョン 1.0