Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - pdm は、最新の PEP 標準をサポートする Python パッケージおよび依存関係マネージャーです。悪意のある「pdm.lock」ファイルを作成することが可能です。これにより、たとえば、インサイダーまたは悪意のあるオープンソースプロジェクトが、信頼できる PyPI プロジェクトに依存しているように見えますが、実際には別のプロジェクトをインストールする可能性があります。プロジェクト「foo-2」を作成し、ファイル「foo-2-2.tar.gz」を pypi.org にアップロードすることで、プロジェクト「foo」をターゲットにできます。PyPI ではこれがプロジェクト「foo-2」バージョン「2」と見なされ、PDM ではこれがプロジェクト「foo」バージョン「2-2」と見なされます。バージョンは「バージョンとして解析可能」のみであり、ファイル名はプロジェクト名のプレフィックスである必要がありますが、インストールされているバージョンと一致するようには検証されません。バージョン「2-2」も、PEP 440 に従って有効な正規化バージョンではありません。
    プレフィックスではなくプロジェクト名が正確に一致することで、問題が修正されます。PDM で依存関係をインストールするとき、実際にインストールされるものは「pyproject.toml」にリストされているものと異なる可能性がありますインストール時の任意のコード実行を含みます。また、バージョンを変更するだけで、ダウングレード攻撃に使用される可能性もあります。この問題は、リリースバージョン2.9.4に含まれるコミット「6853e2642df」で対処されています。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2023-45805)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2023-45805

high Nessus プラグイン ID 226268

バージョン 1.9