Amazon Linux 2023 : python3-pip、python3-pip-wheel (ALAS2023-2026-1689)

medium Nessus プラグイン ID 315029

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1689 のアドバイザリに記載されている脆弱性の影響を受けます。

バージョン 26.1 より前の pip は、ホイールファイルをインストール後に自己更新チェック機能を実行するため、よく知られている Python モジュール名をインポートする必要があります。これらのモジュールのインポートは、pip CLI の起動時間を長くするために意図的に延期されています。パッチは、wheel パッケージのインストール後すぐに新しくインストールされたモジュールがインポートされることを防ぐために、自己更新機能を wheel が取り付けられる前に実行されるように変更します。ユーザーは、インストール前にパッケージの内容を確認する必要があります。(CVE-2026-6357)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update python-pip --releasever 2023.11.20260514」または「dnf update --advisory ALAS2023-2026-1689 --releasever 2023.11.20260514」を実行して、お使いのシステムを更新してください。