Amazon Linux 2023python3.13-wheel、python3.13-wheel-wheelALAS2023-2026-1414]

high Nessus プラグイン ID 298118

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1414 のアドバイザリに記載されている脆弱性の影響を受けます。

ホイールは、PEP 427 で定義されているように、Python ウィールファイルを操作するためのコマンドラインツールです。バージョン 0.46.1 およびそれ以前では、unpack 関数は、抽出後のファイル権限の誤った処理によるファイル権限の変更に対して脆弱です。抽出プロセス自体がパスをサニタイズした可能性がある場合でも、ロジックは chmod 操作に対してアーカイブヘッダーからのファイル名を盲目的に信頼します。攻撃者は、解凍されると、重要なシステムファイル/etc/passwd、SSH キー、構成ファイルなどの権限を変更する悪意のあるウィールファイルを作成し、現在は書き込み可能なスクリプトを改ざんすることで、権限昇格または任意のコードの実行を可能にします。この問題はバージョン 0.46.2で修正されています。(CVE-2026-24049)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update python3.13-wheel --releasever 2023.10.20260202」または「dnf update --advisory ALAS2023-2026-1414 --releasever 2023.10.20260202」を実行して、お使いのシステムを更新してください。