リモートの Azure Linux 3.0 ホストにインストールされている python-webob のバージョンは、テスト済みバージョン より前の です。したがって、CVE-2024-42353 のアドバイザリに記載されている脆弱性の影響を受けます。

  - WebOb は、HTTP リクエストと応答用のオブジェクトを提供します。WebOb は HTTP Location ヘッダーを正規化してリクエストのホスト名を含める場合、Python の urlparse でユーザーのリダイレクト先となる URL を解析し、それをベース URL に結合します。ただし、「urlparse」は文字列の先頭にある「//」をスキームのない URI として扱い、次の部分をホスト名として扱います。その後、「urljoin」はリクエストの元のホスト名を置き換えて、第 2 パートのホスト名をホスト名として使用します。この脆弱性は WebOb バージョン 1.8.8 でパッチが適用されています。(CVE-2024-42353)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新python-webobCVE-2024-42353

medium Nessus プラグイン ID 215372

バージョン 1.1