リモートの Azure Linux 3.0 ホストにインストールされている python-jinja2 のバージョンは、テスト済みのバージョンより前です。したがって、CVE-2024-56201 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Jinja は、拡張可能なテンプレートエンジンです。 3.1.5より前の 3.x ブランチのバージョンでは、Jinja コンパイラのバグにより、Jinja のサンドボックスが使用されているかどうかに関係なく、テンプレートのコンテンツとファイル名の両方をコントロールする攻撃者が任意の Python コードを実行できます。この脆弱性を悪用するには、攻撃者はファイル名とテンプレートのコンテンツの両方を制御する必要があります。そのようになるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、テンプレートの作成者がテンプレートのファイル名を選択する可能性もある、信頼できないテンプレートを実行するアプリケーションのユーザーに影響を与えます。この脆弱性は 3.1.5 で修正されました。(CVE-2024-56201)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新python-jinja2CVE-2024-56201

medium Nessus プラグイン ID 215565

バージョン 1.1