リモートの Fedora 40 ホストには、FEDORA-2024-1d0cb3b43f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    これは、Python 3.12 の 6 回目のメンテナンスリリースです====================================================

    Python 3.12 は、Python プログラミング言語の最新のメジャーリリースであり、多くの新機能と最適化が含まれています。3.12.6 は、最新のメンテナンスリリースであり、3.12.5 以来、約 90 のバグ修正、ビルドの改善、ドキュメントの変更が行われています。これは、次のセキュリティの問題に対応する緊急リリースです。

    - [gh-123067] (https://github.com/python/cpython/issues/123067):) [`http.cookies`] によるバックスラッシュ付きの `` で引用された Cookie 値の解析における 2 次複雑度を修正します (https://docs.python.org/3/library/http.cookies.html#module-http.cookies)。CVE-2024-7592 の修正。
    - [gh-121285] (https://github.com/python/cpython/issues/121285):) `hdrcharset`、PAX、および GNU スパースヘッダーの解析の tarfile ヘッダーからバックトラッキングを削除します。それは CVE-2024-6232 です。
    - [gh-102988] (https://github.com/python/cpython/issues/102988):) [`email.utils.getaddresses()`] (https://docs.python.org/3/library/email.utils.html#email.utils.getaddresses) および [`email.utils.parseaddr()`] (https://docs.python.org/3/library/email.utils.html#email.utils.parseaddr) は、無効な電子メールアドレスが検出された状況では、不正確な値ではなく、より多くの状況で `('', '')` 2 タプルを返すようになりました。オプションの *strict* パラメーターをこれらの 2 つの関数に追加します: `strict=False` を使用して古い動作を取得し、無効な形式の入力を受け入れます。`getattr(email.utils, 'supports_strict_parsing', False)` を使用して、*strict* パラメーターが使用可能かどうかをチェックできます。これにより、CVE-2023-27043 の修正が改善されます。
    - [gh-123270] (https://github.com/python/cpython/issues/123270):) 正当な文字を使用してコンテンツを破損することなく、[`zipfile.Path`] (https://docs.python.org/3/library/zipfile.html#zipfile.Path) の名前をサニタイズし、無限ループ ([gh-122905] (https://github.com/python/cpython/issues/122905)) を回避します。それは CVE-2024-8088 です。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fedora 40: python3-docs/python3.12 (2024-1d0cb3b43f)

medium Nessus プラグイン ID 207256

バージョン 1.1