したがって、ALAS2023-2025-1044 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    フィルター=dataで一部のファイルメタデータ例「最終変更日」または、抽出ディレクトリ外のファイルの filter=tar でファイル権限chmodを変更できます。tarfile モジュールを使用して、TarFile を使用して信頼できない tar アーカイブを抽出する場合は、この脆弱性の影響を受けます。 data または tar の値を持つ filter= パラメーターを使用して extractall() または TarFile.extract() を入手する可能性があります。詳細は、tarfile 抽出フィルターのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor を参照してください。これらの脆弱性の影響を受けるのは、Python バージョン 3.12 以降のみです。これより前のバージョンには、抽出フィルター機能が含まれていません。

    注意Python 3.14 以降では、filter= のデフォルト値がフィルタリングなしから `data に変更されたため、この新しいデフォルト動作に依存している場合は、使用法も影響を受けます。

    注意これらの脆弱性のいずれも、tar アーカイブであるソースディストリビューションのインストールに大きな影響を与えることはありません。ソースディストリビューションがビルドプロセス中の任意のコード実行をすでに許可しているためです。ただしソースディストリビューションを評価する場合、疑わしいリンクを持つソースディストリビューションをインストールしないようにすることが重要です。CVE-2024-12718

    抽出フィルターの無視、シンボリックリンクターゲットの宛先ディレクトリ外のポイント、および一部のファイルメタデータの変更を許可します。

    この脆弱性の影響を受けるのは、tarfile モジュールを使用して、TarFile.extractall() または TarFile.extract() を使用して信頼できない tar アーカイブを抽出し、data または tar の値を持つ filter= パラメーターを使用して信頼できない tar アーカイブを抽出する場合です。詳細は、tarfile 抽出フィルターのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor を参照してください。

    注意Python 3.14 以降では、filter= のデフォルト値がフィルタリングなしから `data に変更されたため、この新しいデフォルト動作に依存している場合は、使用法も影響を受けます。

    注意これらの脆弱性のいずれも、tar アーカイブであるソースディストリビューションのインストールに大きな影響を与えることはありません。ソースディストリビューションがビルドプロセス中の任意のコード実行をすでに許可しているためです。ただしソースディストリビューションを評価する場合、疑わしいリンクを持つソースディストリビューションをインストールしないようにすることが重要です。CVE-2025-4138

    抽出フィルターの無視、シンボリックリンクターゲットの宛先ディレクトリ外のポイント、および一部のファイルメタデータの変更を許可します。

    この脆弱性の影響を受けるのは、tarfile モジュールを使用して、TarFile.extractall() または TarFile.extract() を使用して信頼できない tar アーカイブを抽出し、data または tar の値を持つ filter= パラメーターを使用して信頼できない tar アーカイブを抽出する場合です。詳細は、tarfile 抽出フィルターのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor を参照してください。

    注意Python 3.14 以降では、filter= のデフォルト値がフィルタリングなしから `data に変更されたため、この新しいデフォルト動作に依存している場合は、使用法も影響を受けます。

    注意これらの脆弱性のいずれも、tar アーカイブであるソースディストリビューションのインストールに大きな影響を与えることはありません。ソースディストリビューションがビルドプロセス中の任意のコード実行をすでに許可しているためです。ただしソースディストリビューションを評価する場合、疑わしいリンクを持つソースディストリビューションをインストールしないようにすることが重要です。CVE-2025-4330

    TarFile.errorlevel = 0を使用し、フィルターで抽出するとき、文書化された動作は、フィルターされたメンバーはスキップされ、抽出されません。ただし、影響を受けるバージョンにおけるTarFile.errorlevel = 0の実際の動作では、メンバーは依然として抽出され、スキップされません。CVE-2025-4435

    「bytes.decodeunicode_escape, error=ignore|replace」を使用するとき、CPython に問題が存在します。unicode_escape エンコーディングまたはエラーハンドラーを使用していない場合、使用率は影響を受けません。この問題を回避するには、error= ハンドラーの使用を停止し、代わりに DecodeError をキャッチする try-except の bytes.decode() 呼び出しをラップできます。CVE-2025-4516

    filter=data での抽出中に、抽出ディレクトリ外で任意のファイルシステムへの書き込みを許可します。

    この脆弱性の影響を受けるのは、tarfile モジュールを使用して、TarFile.extractall() または TarFile.extract() を使用して信頼できない tar アーカイブを抽出し、data または tar の値を持つ filter= パラメーターを使用して信頼できない tar アーカイブを抽出する場合です。詳細は、tarfile 抽出フィルターのドキュメント https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor を参照してください。これらの脆弱性の影響を受けるのは、Python バージョン 3.12 以降のみです。これより前のバージョンには、抽出フィルター機能が含まれていません。

    注意Python 3.14 以降では、filter= のデフォルト値がフィルタリングなしから `data に変更されたため、この新しいデフォルト動作に依存している場合は、使用法も影響を受けます。

    注意これらの脆弱性のいずれも、tar アーカイブであるソースディストリビューションのインストールに大きな影響を与えることはありません。ソースディストリビューションがビルドプロセス中の任意のコード実行をすでに許可しているためです。ただしソースディストリビューションを評価する場合、疑わしいリンクを持つソースディストリビューションをインストールしないようにすることが重要です。CVE-2025-4517

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : python3.12、python3.12-devel、python3.12-idle (ALAS2023-2025-1044)

critical Nessus プラグイン ID 240322

バージョン 1.5