Amazon Linux 2023 : python3.11-pip、python3.11-pip-wheel (ALAS2023-2025-1211)

medium Nessus プラグイン ID 270515

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2025-1211 のアドバイザリに記載されている脆弱性の影響を受けます。

tarアーカイブを抽出するとき、tarfileモジュールがPEP 706を実装していない場合、pipは抽出ディレクトリへのシンボリックリンクの先をチェックしない可能性があります。この脆弱性の修正済みバージョンにpipをアップグレードしても、修正済みの既知の脆弱性のすべては修正されません。 PEP 706 を実装する Python バージョン

注意これは、PEP 706 を実装しない Python バージョンに対する tar 抽出の pip のフォールバック実装にある脆弱性であり、したがって、Python「tarfile」モジュールのすべての脆弱性に対して安全ではありません。PEP 706then を実装する Python バージョンを使用している場合、pip は脆弱なフォールバックコードを使用しません。

緩和策には、の修正を含むバージョンの pip にアップグレードすること、リンクされたパッチを適用することにより、PEP 706Python >=3.9.17、>=3.10.12、>=3.11.4、または >=3.12を実装することが含まれます。、、またはこれはすでにベストプラクティスとなっていますが、インストール前にソースディストリビューションsdistsを検査します。
(CVE-2025-8869)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update python3.11-pip --releasever 2023.9.20251014」または「dnf update --advisory ALAS2023-2025-1211 --releasever 2023.9.20251014」を実行して、お使いのシステムを更新してください。