Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - base64 モジュールの b64decode()、standard_b64decode()、および urlsafe_b64decode() 関数にデータを渡す際に、文字 +/ は、altchars パラメーターの値に関係なく常に受け入れられます。これは、URL セーフアルファベットなどの代替 base64 アルファベットを確立するために通常使用されます。
    この動作は、以前の base64 RFC で推奨されているものと一致しますが、新しい RFC では現在、指定された base64 アルファベット外の文字をドロップするか、エラーを提示することが推奨されています。古い挙動により、データの整合性の問題が生じる可能性があります。アプリケーションが代替の base64 アルファベット (+/ なし) を使用している場合にのみ、この動作は安全でない可能性があります。アプリケーションで altchars パラメーターまたは urlsafe_b64decode() 関数を使用しない場合、アプリケーションは代替の base64 アルファベットを使用しません。添付されたパッチは、base64-decode の動作がエラーを発生させません。これは挙動の変化であり、既存のプログラムが破損する可能性があるためです。代わりに、パッチが動作を非推奨にします。これは、Python の将来のバージョンで新たに推奨される動作で置き換わります。ユーザーは、ユーザー制御の入力が期待している base64 アルファベットと一致することを検証するか、b64decode() 関数が代替文字の外側で + または / を受け入れた場合にアプリケーションが影響を受けないことを検証することで、緩和策を軽減することが推奨されます。
    (CVE-2025-12781)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-12781

medium Nessus プラグイン ID 295336

バージョン 1.10