Amazon Linux 2023python3.13-virtualenvALAS2023-2026-1428

medium Nessus プラグイン ID 299546

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1428 のアドバイザリに記載されている脆弱性の影響を受けます。

virtualenvは、独立した仮想python環境を作成するためのツールです。バージョン 20.36.1より前では、virtualenv の TOCTOUTime-of-Check-Time-of-Useの脆弱性により、ローカルの攻撃者がディレクトリ作成操作でシンボリックリンクベースの攻撃を仕掛けることができます。ローカルアクセス権を持つ攻撃者がディレクトリの存在の確認と作成の間の競合状態を悪用し、virtualenvのapp_dataとロックファイル操作を攻撃者が制御する場所にリダイレクトする可能性があります。この問題には、バージョン 20.36.1 でパッチが適用されています。(CVE-2026-22702)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update python3.13-virtualenv --releasever 2023.10.20260216」または「dnf update --advisory ALAS2023-2026-1428 --releasever 2023.10.20260216」を実行して、お使いのシステムを更新してください。