Linux Distros のパッチ未適用の脆弱性: CVE-2023-45805

high Nessus プラグイン ID 226268

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- pdm は、最新の PEP 標準をサポートする Python パッケージおよび依存関係マネージャーです。悪意のある「pdm.lock」ファイルを作成することが可能です。これにより、たとえば、インサイダーまたは悪意のあるオープンソースプロジェクトが、信頼できる PyPI プロジェクトに依存しているように見えますが、実際には別のプロジェクトをインストールする可能性があります。プロジェクト「foo-2」を作成し、ファイル「foo-2-2.tar.gz」を pypi.org にアップロードすることで、プロジェクト「foo」をターゲットにできます。PyPI ではこれがプロジェクト「foo-2」バージョン「2」と見なされ、PDM ではこれがプロジェクト「foo」バージョン「2-2」と見なされます。バージョンは「バージョンとして解析可能」のみであり、ファイル名はプロジェクト名のプレフィックスである必要がありますが、インストールされているバージョンと一致するようには検証されません。バージョン「2-2」も、PEP 440 に従って有効な正規化バージョンではありません。
プレフィックスではなくプロジェクト名が正確に一致することで、問題が修正されます。PDM で依存関係をインストールするとき、実際にインストールされるものは「pyproject.toml」にリストされているものと異なる可能性がありますインストール時の任意のコード実行を含みます。また、バージョンを変更するだけで、ダウングレード攻撃に使用される可能性もあります。この問題は、リリースバージョン2.9.4に含まれるコミット「6853e2642df」で対処されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2023-45805)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://security-tracker.debian.org/tracker/CVE-2023-45805

https://ubuntu.com/security/CVE-2023-45805

プラグインの詳細

深刻度: High

ID: 226268

ファイル名: unpatched_CVE_2023_45805.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

ファミリー: Misc.

公開日: 2025/3/5

更新日: 2025/8/30

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus