Debian dla-4197 python3-flask-cors - セキュリティ更新

medium Nessus プラグイン ID 237621

Language:

概要

リモートの Debian ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートのDebian 11ホストには、dla-4197アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

-------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4197-1 [email protected] https://www.debian.org/lts/security/Daniel Leidert 2025 年 5 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

パッケージ python-flask-cors バージョン 3.0.9-2+deb11u1 CVE ID CVE-2024-1681 CVE-2024-6839 CVE-2024-6844 CVE-2024-6866 Debian バグ 1069764 1100988

Cross Origin Resource SharingCORSを処理するためのFlask拡張であるFlask-CORSに複数のセキュリティ問題が発見されました。

CVE-2024-1681

ログレベルがデバッグに設定されている時にログインジェクション脆弱性があるため、攻撃者が、リクエストパスに CRLF シーケンスを含む特別に細工された GET リクエストを送信することで、偽のログエントリをログファイルに注入する可能性があります。

CVE-2024-6839

パスを照合する際に、より長い正規表現パターンよりも長い正規表現パターンが優先されることによる、不適切な正規表現パス照合の脆弱性により、機密性の高いエンドポイントに適用される制限が緩い CORS ポリシーにつながる可能性があります。

CVE-2024-6844

URL パスでの「+」文字の処理が原因で、CORS マッチングに一貫性がなくなりました。これにより、不適切なパス正規化が発生し、CORS 構成で不一致が発生する可能性があります。

CVE-2024-6866

リクエストパスの照合では、大文字と小文字が区別されません。URL のパスでは大文字と小文字が区別されるため、不一致が生じます。この誤設定により、重大なセキュリティ脆弱性が発生し、制限されるべきパスに、権限のないオリジンがアクセスする可能性があります。

Debian 11 Bullseyeでは、これらの問題はバージョン3.0.9-2+deb11u1で修正されました。

python-flask-cors パッケージをアップグレードすることを推奨します。

python-flask-cors の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
https://security-tracker.debian.org/tracker/python-flask-cors

Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。