Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - python-ldap は Python 用の軽量ディレクトリアクセスプロトコルLDAPクライアント API です。 3.4.5より前のバージョンでは、細工された「list」または「dict」が「assertition_value」パラメーターとして提供され、非デフォルトでは、サニタイズメソッド「ldap.filter.escape_filter_chars」が騙されて、特殊文字のエスケープをスキップする可能性があります。 「escape_mode=1」が設定されています。メソッド「ldap.filter.escape_filter_chars」は 3 つの異なるエスケープモードをサポートします。 「list」または「dict」オブジェクトが「assertition_value」パラメーターとして提供されると、「escape_mode=0」デフォルトおよび「escape_mode=2」によって例外が発生します。しかし、「escape_mode=1」は、戻り値を完全にエスケープされるようにするための適切なロジックを実行せずに計算します。アプリケーションが「python-ldap」ライブラリの脆弱なメソッドに依存して、信頼できないユーザー入力を回避する場合、攻撃者はこの脆弱性を悪用して ldap インジェクション攻撃を仕掛けることができ、これにより、アクセスできないはずの ldap データが漏洩または操作される可能性があります。 。バージョン 3.4.5 では、「ldap.filter.escape_filter_chars」メソッドの開始時にタイプチェックを追加し、提供された「assertition_value」パラメーターがタイプ「str」でない場合に例外を発生させることで、問題を修正します。CVE-2025-61911

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-61911

medium Nessus プラグイン ID 270277

バージョン 1.5