Amazon Linux 2 : python-webob (ALAS-2025-2726)

medium Nessus プラグイン ID 213669

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている python-webob のバージョンは、1.2.3-7より前です。したがって、ALAS2-2025-2726 のアドバイザリに記載されている脆弱性の影響を受けます。

WebOb は、HTTP リクエストおよび応答用のオブジェクトを提供します。WebOb は HTTP Location ヘッダーを正規化してリクエストのホスト名を含める場合、Python の urlparse でユーザーのリダイレクト先となる URL を解析し、それをベース URL に結合します。ただし、「urlparse」は文字列の先頭にある「//」をスキームのない URI として扱い、次の部分をホスト名として扱います。その後、「urljoin」はリクエストの元のホスト名を置き換えて、第 2 パートのホスト名をホスト名として使用します。この脆弱性は WebOb バージョン 1.8.8 でパッチが適用されています。(CVE-2024-42353)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。