Fedora 41 : uv (2024-8568f9cd5e)

high Nessus プラグイン ID 212152

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 41 ホストには、FEDORA-2024-8568f9cd5e のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

「uv」を 0.4.30 から 0.5.5 に更新してください。これは重要な更新です。以下の注意事項をご確認ください。

----

「uv」の最新リリースに更新することで、この更新により [CVE-2024-53899] (https://nvd.nist.gov/vuln/detail/CVE-2024-53899) が修正されます。もともとは、これは [「virtualenv」] (https://pypi.org/project/virtualenv/) に対して報告されていましたが、「uv」0.5.2 以前のバージョンでも再現可能でした。詳細については、[upstream の問題 #9424] (https://github.com/astral-sh/uv/issues/9424) を参照してください。

----

この更新では、Fedora に固有の設定を含むデフォルトのシステム全体の設定ファイル「/etc/uv/uv.toml」が追加されます。RPM パッケージの「uv」は、2 つの点でデフォルト設定から逸脱しています。

まず、意図しない Python のダウンロードを回避するために、「python-downloads」を「manual」に設定します。ディストリビューションのメンテナンスと統合のメリットを受けられる RPM パッケージ (システム) の Python の使用を推奨します。「uv python install」を使用して、管理対象の Python を手動でインストールします。

次に、「python-preference」を「managed」ではなく「system」に設定します。そうしない場合、利用可能な管理された Python がプライマリシステムの Python よりもかなり古いものであっても、特定の Python が指定されていない「uv」操作に管理された Python を使用します。

すべてのユーザーとアプリケーションに適切な選択肢というものはありません。デフォルトの動作に戻すには、このファイルの設定をコメントアウトするか、ユーザーレベルの設定ファイルなどの、より優先度の高い設定ファイルで上書きします。プロジェクトレベル、ユーザーレベル、およびシステムレベルの設定ファイルの相互作用の詳細については、https://docs.astral.sh/uv/configuration/files/ を参照してください。

----

0.5.0 により、「uv」では、互換性に影響を与える可能性があるいくつかの変更が生じるようになりました。開発者は、これらの変更は正確性とユーザーエクスペリエンスを向上させるものの、一部のワークフローが破損する可能性があると書いています。このリリースにはこれらの変更が含まれています。多くは、念のため、警告としてマークが付けられています。ほとんどのユーザーは、変更を加えることなくアップグレードできると想定されます。

- 基本実行可能ファイルを使用して、virtualenv Python パスを設定する
- インストーラーで Cargo ホームディレクトリの代わりに XDG (すなわち、「~/.local/bin」) を使用する
- 親ディレクトリの .python-version ファイルを検出して遵守する
- 許可されていない設定が「uv.toml」で定義されている場合のエラー
- PEP 440 準拠のローカルバージョンセマンティクスを実装する
- ベース Conda 環境をシステム環境として扱う
-「!=」演算子が使用されている場合、プレリリースを許可しない
- Windows でホームディレクトリを選択する際に、「FOLDERID_Profile」よりも「USERPROFILE」を優先する
- カラー環境変数と CLI オプションの間の相互作用を改善する
- 「allow-insecure-host」をグローバルオプションにする
- バージョンが異なる場合、ワークスペースメンバーに対して「uv init」中に「.python-version」ファイルのみを書き込む

これらの変更の詳細については、https://github.com/astral-sh/uv/releases/tag/0.5.0 を参照してください。

この更新におけるその他の修正、拡張機能、変更については、以下を参照してください。

- https://github.com/astral-sh/uv/releases/tag/0.5.1
- https://github.com/astral-sh/uv/releases/tag/0.5.2
- https://github.com/astral-sh/uv/releases/tag/0.5.3
- https://github.com/astral-sh/uv/releases/tag/0.5.4
- https://github.com/astral-sh/uv/releases/tag/0.5.5

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。