Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Pythonのアプリケーションにおける国際化ドメイン名(IDNA)は、アプリケーション内の国際化ドメイン名(IDNA)とUnicode IDNA互換性処理のサポートを提供します。3.15 より前のバージョンでは、「\u0660 * N」や「\u30fb * N + \u6f22」などのペイロードは、長さ拒否の前に「valid_contexto」関数を利用します。「N」の値が高い場合、処理に長い時間がかかります。これは CVE-2024-3651 と同じ問題ですが、2024 年の最初の修正は完全な修正ではありませんでした。「idna.encode()」関数に対する特別に細工された引数は、大量のリソースを消費する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。バージョン 3.14 以降、この関数は、リソース消費を最小限に抑えるために、さらなる処理の前にできるだけ早く長い入力を拒否します。バージョン 3.15 では、このアプローチは、あまり使用されない代替関数(つまり、ラベルごとの変換およびコーデックのサポート)に拡張されました。回避策が利用可能です。ドメイン名の長さは 253 文字を超えることはできません。ドメインを「idna.encode()」関数に渡す前にこの長さ制限が実施されていれば、大きなリソースを消費することはなくなるはずです。これは、通常の使用法では発生しない任意の大きな入力によって引き起こされますが、上位レベルのアプリケーションによる予備的な入力検証がないと仮定して、ライブラリに渡される可能性があります。(CVE-2026-45409)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-45409

medium Nessus プラグイン ID 319607

バージョン 1.4