リモートの Fedora 38 ホストには、FEDORA-2023-b213d84a16 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Pyramid は、オープンソースの Python Web フレームワークです。Pyramid バージョン 2.0.0 および 2.0.1 のパストラバーサルの脆弱性は、Pyramid の静的ビューをファイルシステムのフルパスで使用しており、静的ビューのファイルシステムのパスの位置のちょうど 1 つ上のディレクトリに「index.html」ファイルがある Python 3.11 のユーザーに影響を与えます。これ以上のパストラバーサルは存在せず、誤って公開される可能性のあるファイルは「index.html」のみです。Pyramid バージョン 2.0.2 では、null バイトを含むパスは、注意を払って拒否します。ディレクトリ名やファイル名には有効ですが、ファイル名やディレクトリ名に null バイトを使用するのは誤りであると強く考えます。第二に、Python 3.11、3.12 は、「os.path.normpath」の根本的な問題を修正して、最初に見つかった「0x00」で切り捨てないようにしています。これにより、まだリリースされていないバージョンの、3.11 より前の Python の動作に戻しました。修正は次のもので利用可能になります。Python 3.12.0rc2 および 3.11.5。いくつかの回避策が利用可能です。影響を受けないバージョンの Python 3 を使用するか、一時的に Python 3.10 シリーズにダウングレードするか、Python 3.11.5 がリリースされるまで待って Python 3.11 シリーズの最新バージョンにアップグレードしてください。
    (CVE-2023-40587)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Fedora 38: python-pyramid (2023-b213d84a16)

medium Nessus プラグイン ID 180495

バージョン 1.0