リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、fd3855b8-efbc-11f0-9e3f-b0416f0c4c67 のアドバイザリに記載されている脆弱性の影響を受けます。

    https://github.com/pypa/virtualenv/security/advisories/GHSA-597g-3phw-6986 による報告:
    virtualenvは、独立した仮想python環境を作成するためのツールです。
    バージョン 20.36.1より前では、virtualenv の TOCTOUTime-of-Check-Time-of-Useの脆弱性により、ローカルの攻撃者がディレクトリ作成操作でシンボリックリンクベースの攻撃を仕掛けることができます。ローカルアクセス権を持つ攻撃者がディレクトリの存在の確認と作成の間の競合状態を悪用し、virtualenvのapp_dataとロックファイル操作を攻撃者が制御する場所にリダイレクトする可能性があります。この問題には、バージョン 20.36.1 でパッチが適用されています。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

FreeBSDvirtualenv -- CWE-59ファイルアクセス前の不適切なリンク解決「Link Following」fd3855b8-efbc-11f0-9e3f-b0416f0c4c67

medium Nessus プラグイン ID 282632

バージョン 1.1