したがって、ALAS2023-2025-1216 のアドバイザリに記載されている脆弱性の影響を受けます。

    tarアーカイブを抽出するとき、tarfileモジュールがPEP 706を実装していない場合、pipは抽出ディレクトリへのシンボリックリンクの先をチェックしない可能性があります。この脆弱性の修正済みバージョンにpipをアップグレードしても、修正済みの既知の脆弱性のすべては修正されません。 PEP 706 を実装する Python バージョン

    注意これは、PEP 706 を実装しない Python バージョン に対する tar 抽出の pip のフォールバック実装にある脆弱性であり、したがって、Python「tarfile」モジュールのすべての脆弱性に対して安全ではありません。PEP 706then を実装する Python バージョンを使用している場合、pip は脆弱なフォールバックコードを使用しません。

    緩和策には、 の修正を含むバージョンの pip にアップグレードすること、リンクされたパッチを適用することにより、PEP 706Python >=3.9.17、>=3.10.12、>=3.11.4、または >=3.12を実装することが含まれます。 、、またはこれはすでにベストプラクティスとなっていますが、インストール前にソースディストリビューションsdistsを検査します。
    (CVE-2025-8869)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : python3-pip、python3-pip-wheel (ALAS2023-2025-1216)

medium Nessus プラグイン ID 270531

バージョン 1.1