Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - base64 モジュールの b64decode()、standard_b64decode()、および urlsafe_b64decode() 関数にデータを渡す際、altchars パラメーターの値に関係なく、文字 +/ は常に受け入れられ、通常は次のような代替の base64 アルファベットを確立するために使用されますURL 安全アルファベット。
    この動作は、以前の base64 RFC で推奨されているものと一致しますが、最新の RFC では現在、指定された base64 アルファベットより外側の文字をドロップするか、エラーを発生させることが推奨されています。古い動作は、データ整合性の問題を引き起こす可能性があります。この動作が安全でない可能性があるのは、アプリケーションが代替の base64 アルファベット (+/ なし) を使用している場合のみです。アプリケーションが altchars パラメーターまたは urlsafe_b64decode() 関数を使用しない場合、アプリケーションは代替の base64 アルファベットを使用しません。添付されているパッチは、base64-decode の動作でエラーを発生させません。これは、動作の変更であり、既存のプログラムを破損させるためです。代わりに、パッチは、Python の今後のバージョンで新たに推奨される動作に置き換えられる動作を廃止します。ユーザーは、ユーザーコントロールの入力が期待される base64 alphabet と一致することを検証することで緩和すること、または b64decode() 関数が altchars の外部で + または / を受け入れた場合、アプリケーションが影響を受けないことを検証することで緩和することが推奨されます。
    (CVE-2025-12781)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-12781

medium Nessus プラグイン ID 295336

バージョン 1.1