したがって、ALAS2023-2026-1666 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    pip は、ファイル名やファイルが tar ファイルと ZIP ファイルの両方であるかどうかに関わらず、連結された tar ファイルと ZIP ファイルを ZIP ファイルとして処理します。この動作により、アーカイブのファイル名に従って正しくないファイルがインストールされるなど、混乱を招くインストール動作が起こる可能性があります。新しい挙動では、ファイルが ZIP または tar アーカイブとして一意に識別され、両方として識別されない場合にのみ、インストールが続行されます。(CVE-2026-3219)

    バージョン 26.1 より前の pip は、ホイールファイルをインストール後に自己更新チェック機能を実行するため、よく知られている Python モジュール名をインポートする必要があります。これらのモジュールのインポートは、pip CLI の起動時間を長くするために意図的に延期されています。パッチは、wheel パッケージのインストール後すぐに新しくインストールされたモジュールがインポートされることを防ぐために、自己更新機能を wheel が取り付けられる前に実行されるように変更します。ユーザーは、インストール前にパッケージの内容を確認する必要があります。(CVE-2026-6357)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

2023 年 Amazon Linux:python3.12-pip、python3.12-pip-wheel(ALAS2023-2026-1666)

medium Nessus プラグイン ID 315636

バージョン 1.1