Fedora 39 : python-pyramid (2023-70baf5e2fe)

medium Nessus プラグイン ID 185280

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 39 ホストには、FEDORA-2023-70baf5e2fe のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- Pyramid は、オープンソースの Python Web フレームワークです。Pyramid バージョン 2.0.0 および 2.0.1 のパストラバーサルの脆弱性は、Pyramid の静的ビューをファイルシステムのフルパスで使用しており、静的ビューのファイルシステムのパスの位置のちょうど 1 つ上のディレクトリに「index.html」ファイルがある Python 3.11 のユーザーに影響を与えます。これ以上のパストラバーサルは存在せず、誤って公開される可能性のあるファイルは「index.html」のみです。Pyramid バージョン 2.0.2 では、null バイトを含むパスは、注意を払って拒否します。ディレクトリ名やファイル名には有効ですが、ファイル名やディレクトリ名に null バイトを使用するのは誤りであると強く考えます。第二に、Python 3.11、3.12 は、「os.path.normpath」の根本的な問題を修正して、最初に見つかった「0x00」で切り捨てないようにしています。これにより、まだリリースされていないバージョンの、3.11 より前の Python の動作に戻しました。修正は次のもので利用可能になります。Python 3.12.0rc2 および 3.11.5。いくつかの回避策が利用可能です。影響を受けないバージョンの Python 3 を使用するか、一時的に Python 3.10 シリーズにダウングレードするか、Python 3.11.5 がリリースされるまで待って Python 3.11 シリーズの最新バージョンにアップグレードしてください。
(CVE-2023-40587)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。