リモートの Debian 11 ホストには、dla-4445 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4445-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2026 年 1 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : python3.9 バージョン : 3.9.2-1+deb11u4 CVE ID : CVE-2022-37454 CVE-2025-4516 CVE-2025-6069 CVE-2025-6075 CVE-2025-8194 CVE-2025-8291 CVE-2025-12084 CVE-2025-13836 CVE-2025-13837

    cPython 3.9 での複数のセキュリティ修正。

    CVE-2022-37454

        Keccak XKCP SHA-3 実装には、スポンジ関数インターフェースにおける整数オーバーフローとバッファオーバーフローがありました。これにより、攻撃者が任意のコードを実行したり、予想される暗号化プロパティを排除したりする可能性があります。

    CVE-2025-4516

        bytes.decode(unicode_escape、error=ignore|replace) の問題により、クラッシュが発生する可能性があります。

    CVE-2025-6069

        html.parser.HTMLParser クラスには、特定の細工された無効な形式の入力を処理する際に、最悪の場合として二次複雑性があり、これによってサービス拒否が増幅される可能性があります。

    CVE-2025-6075

        os.path.expandvars() に渡される値がユーザーコントロールの場合、環境変数を展開する際にパフォーマンスが低下する可能性があります。

    CVE-2025-8194

        tar 実装は、負のオフセットを含む tar アーカイブをエラーなく処理してしまい、悪意をもって細工された tar アーカイブの解析中に無限ループやデッドロックが発生する可能性があります。

    CVE-2025-8291

        「zipfile」モジュールは ZIP64 End of Central Directory（EOCD）ロケータレコードのオフセット値の有効性をチェックせず、その値を ZIP64 EOCD レコードの検索には使用しませんでした。その代わりに、ZIP64 EOCD レコードは ZIP アーカイブ内の直前のレコードであると想定されていました。これが悪用されると、他の ZIP 実装と比較して「zipfile」モジュールによって異なる方法で処理される ZIP アーカイブが作成される可能性があります。

    CVE-2025-12084

        _clear_id_cache() との依存関係がある appendChild() などの xml.dom.minidom メソッドを使用してネスト化された要素を構築する場合、アルゴリズムは二次的でした。過度にネスト化されたドキュメントを構築すると、可用性に影響が生じる可能性があります。

    CVE-2025-13836

        サーバーから HTTP 応答を読み取る際に、読み取り量が指定されていない場合、デフォルトの動作として Content-Length が使用されていました。これにより、悪意のあるサーバーがクライアントに大量のデータをメモリに読み取らせ、OOM またはその他の DoS を引き起こす可能性があります。

    CVE-2025-13837

        plist ファイルをロードする際、plistlib モジュールはファイル自体で指定されたサイズでデータを読み取る可能性があります。これは、悪意あるファイルが OOM および DoS 問題を引き起こす可能性があることを意味します。

    Debian 11 bullseye においては、これらの問題はバージョン 3.9.2-1+deb11u4 で修正されました。

    お使いの python3.9 パッケージをアップグレードすることを推奨します。

    python3.9 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/python3.9

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-4445 : idle-python3.9 - セキュリティ更新

medium Nessus プラグイン ID 294786

バージョン 1.2