Amazon Linux 2023python3-flaskALAS2023-2026-1476

low Nessus プラグイン ID 304287

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1476 のアドバイザリに記載されている脆弱性の影響を受けます。

Flask は、ウェブサーバーゲートウェイインターフェイスWSGIWeb アプリケーションフレームワークです。バージョン 3.1.2 以降では、セッションオブジェクトにアクセスするときに、Flask が Vary: Cookie ヘッダーを設定する必要があります。これにより、機密情報が含まれているキャッシュ使用の脆弱性が発生します。ログインユーザーに固有の情報が含まれている可能性があるため、ロジックはに、応答をキャッシュしないように指示します。ほとんどの場合、これは処理されますが、演算子の Python などの一部の形式のアクセスが見落とされていました。重要度とリスクは、クッキー付きの応答を無視しないキャッシングプロキシの背後でホストされているアプリケーション、ページをプライベートまたはキャッシュ不可としてマークするために Cache-Control ヘッダーを設定しない、およびが通信するだけでセッションにアクセスできる方法に依存します。値を読み取ったりセッションを変化させたりすることなく、キーを生成します。この問題は、バージョン 3.1.3で修正されています。CVE-2026-27205

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update python-flask --releasever 2023.10.20260325」または「dnf update --advisory ALAS2023-2026-1476 --releasever 2023.10.20260325」を実行して、お使いのシステムを更新してください。