Amazon Linux 2023 : python3、python3-devel、python3-idle (ALAS2023-2025-1046)
critical Nessus プラグイン ID 240297
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2025-1046 のアドバイザリに記載されている複数の脆弱性の影響を受けます。filter=data で一部のファイルメタデータ (例: 最終変更日) または、抽出ディレクトリ外のファイルの filter=tar でファイルアクセス許可 (chmod) を変更できます。tarfile モジュールを使用して信頼できない tar アーカイブを抽出する場合、TarFile.extractall() または TarFile.extract() を使用する場合、data または tar の値を持つ filter= パラメーターを使用する場合、この脆弱性の影響を受けます。詳細は、tarfile 抽出フィルターのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor を参照してください。これらの脆弱性の影響を受けるのは、Python バージョン 3.12 以降のみです。これより前のバージョンには、抽出フィルター機能が含まれていません。
注意: Python 3.14 以降では、filter= のデフォルト値がフィルタリングなしから `data に変更されたため、この新しいデフォルト動作に依存している場合は、使用法も影響を受けます。
注意: これらの脆弱性のいずれも、tar アーカイブであるソースディストリビューションのインストールに大きな影響を与えることはありません。これは、ソースディストリビューションがビルドプロセス中の任意のコード実行をすでに許可しているためです。ただし、ソースディストリビューションを評価する場合、疑わしいリンクを持つソースディストリビューションをインストールしないようにすることが重要です。(CVE-2024-12718)
抽出フィルターの無視、シンボリックリンクターゲットの宛先ディレクトリ外のポイント、および一部のファイルメタデータの変更を許可します。
tarfile モジュールを使用して信頼できない tar アーカイブを抽出する場合、TarFile.extractall() または TarFile.extract() を使用する場合、data または tar の値を持つ filter= パラメーターを使用する場合、この脆弱性の影響を受けます。詳細は、tarfile 抽出フィルターのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor を参照してください。
注意: Python 3.14 以降では、filter= のデフォルト値がフィルタリングなしから `data に変更されたため、この新しいデフォルト動作に依存している場合は、使用法も影響を受けます。
注意: これらの脆弱性のいずれも、tar アーカイブであるソースディストリビューションのインストールに大きな影響を与えることはありません。これは、ソースディストリビューションがビルドプロセス中の任意のコード実行をすでに許可しているためです。ただし、ソースディストリビューションを評価する場合、疑わしいリンクを持つソースディストリビューションをインストールしないようにすることが重要です。(CVE-2025-4138)
抽出フィルターの無視、シンボリックリンクターゲットの宛先ディレクトリ外のポイント、および一部のファイルメタデータの変更を許可します。
tarfile モジュールを使用して信頼できない tar アーカイブを抽出する場合、TarFile.extractall() または TarFile.extract() を使用する場合、data または tar の値を持つ filter= パラメーターを使用する場合、この脆弱性の影響を受けます。詳細は、tarfile 抽出フィルターのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor を参照してください。
注意: Python 3.14 以降では、filter= のデフォルト値がフィルタリングなしから `data に変更されたため、この新しいデフォルト動作に依存している場合は、使用法も影響を受けます。
注意: これらの脆弱性のいずれも、tar アーカイブであるソースディストリビューションのインストールに大きな影響を与えることはありません。これは、ソースディストリビューションがビルドプロセス中の任意のコード実行をすでに許可しているためです。ただし、ソースディストリビューションを評価する場合、疑わしいリンクを持つソースディストリビューションをインストールしないようにすることが重要です。(CVE-2025-4330)
TarFile.errorlevel = 0 を使用し、フィルターで抽出するとき、文書化された動作は、フィルターされたメンバーはスキップされ、抽出されません。ただし、影響を受けるバージョンにおける TarFile.errorlevel = 0 の実際の動作では、メンバーは依然として抽出され、スキップされません。(CVE-2025-4435)
filter=data での抽出中に、抽出ディレクトリ外で任意のファイルシステムへの書き込みを許可します。
tarfile モジュールを使用して信頼できない tar アーカイブを抽出する場合、TarFile.extractall() または TarFile.extract() を使用する場合、data または tar の値を持つ filter= パラメーターを使用する場合、この脆弱性の影響を受けます。詳細は、tarfile 抽出フィルターのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor を参照してください。これらの脆弱性の影響を受けるのは、Python バージョン 3.12 以降のみです。これより前のバージョンには、抽出フィルター機能が含まれていません。
注意: Python 3.14 以降では、filter= のデフォルト値がフィルタリングなしから `data に変更されたため、この新しいデフォルト動作に依存している場合は、使用法も影響を受けます。
注意: これらの脆弱性のいずれも、tar アーカイブであるソースディストリビューションのインストールに大きな影響を与えることはありません。これは、ソースディストリビューションがビルドプロセス中の任意のコード実行をすでに許可しているためです。ただし、ソースディストリビューションを評価する場合、疑わしいリンクを持つソースディストリビューションをインストールしないようにすることが重要です。(CVE-2025-4517)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update python3.9 --releasever 2023.7.20250623」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com/AL2023/ALAS-2025-1046.html
https://alas.aws.amazon.com/cve/html/CVE-2024-12718.html
https://alas.aws.amazon.com/cve/html/CVE-2025-4138.html
https://alas.aws.amazon.com/cve/html/CVE-2025-4330.html
https://alas.aws.amazon.com/cve/html/CVE-2025-4435.html
プラグインの詳細
深刻度: Critical
ID: 240297
ファイル名: al2023_ALAS2023-2025-1046.nasl
バージョン: 1.4
タイプ: local
エージェント: unix
公開日: 2025/6/23
更新日: 2025/7/8
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.3
CVSS v2
リスクファクター: High
基本値: 9.7
現状値: 7.2
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:P
CVSS スコアのソース: CVE-2025-4517
CVSS v3
リスクファクター: Critical
基本値: 9.4
現状値: 8.2
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: Critical
Base Score: 10
Threat Score: 9.1
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CVSS スコアのソース: CVE-2024-12718
脆弱性情報
CPE: p-cpe:/a:amazon:linux:python3.9-debuginfo, cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:python3-test, p-cpe:/a:amazon:linux:python3-libs, p-cpe:/a:amazon:linux:python3.9-debugsource, p-cpe:/a:amazon:linux:python3-devel, p-cpe:/a:amazon:linux:python-unversioned-command, p-cpe:/a:amazon:linux:python3-tkinter, p-cpe:/a:amazon:linux:python3-idle, p-cpe:/a:amazon:linux:python3-debug, p-cpe:/a:amazon:linux:python3
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2025/6/23
脆弱性公開日: 2025/6/3
参照情報
CVE: CVE-2024-12718, CVE-2025-4138, CVE-2025-4330, CVE-2025-4435, CVE-2025-4517
IAVA: 2025-A-0444