Linux Distros のパッチ未適用の脆弱性: CVE-2026-12003
medium Nessus プラグイン ID 321379
Language:
概要
Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。説明
Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。- Python のビルドを(インストール済みファイルレイアウトではなく)ツリー内レイアウトから実行できるようにするために、VPATH 変数をビルド時に定義し、特定のランドマーク(具体的には Modules/setup.local)を検索するために使用されます。このランドマークが実行可能ファイル相対的な VPATH に対して見つかった場合、Python はそれがソースツリーで実行されていると想定し、異なるデフォルトの sys.path を生成します。このコードはリリースビルドに残るため、リリース対応のビルドをツリー内で構築できます。Windows では、ビルドが「PCbuild/」に書き込まれるため、VPATH の値は「..\..」というランドマークになります。\..\Modules\setup.local」です。このパスは Python のインストールディレクトリの外部にあり、異なる権限を持つ場合があります。これにより、権限が低いユーザーがランドマークおよび代替の「Lib」フォルダを作成する可能性があります。他のパスは、制限されたインストールによって検出されます。このような設定は、WindowsですべてのユーザーがOSドライブのルートディレクトリにフォルダーを作成できるため、すべてのユーザー(現在は置き換えられたEXEインストーラー)の従来のデフォルトのインストール場所で発生します。Windowsに関して推奨される軽減策は、レガシーインストーラーから移行し、新しい[Pythonインストールマネージャー](https://www.python.org/downloads/latest/pymanager/)を使用して現在のユーザーにインストールすることです。Python インストールディレクトリの 2 レベル上のディレクトリに同等の権限がある場合、インストールは影響を受けません(一般に、ユーザーごとのインストールは、他のユーザーによりまったく変更できないため、権限の昇格のリスクが排除されます。また、特権ユーザーによって直接変更されることがあるため、改ざんの可能性は無関係になります)。代替的な緩和策には、「Modules」ディレクトリへのアクセスを先制的に作成および制限することが含まれる場合があります。更新されたレガシーインストーラーを受け取るのは、 3.13 と 3.14 のみです。以前の修正はソースとしてのみ提供されます。Windows 以外のプラットフォームでは、VPATH をオーバーライドできますが、バイナリのビルドで通常は別個のディレクトリを使用しないため、インストールディレクトリの外にランドマーク参照がある可能性はほとんどありません。VPATH に関連するランドマーク検出は、より具体的なランドマーク(.\pybuilddir.txt)がない場合のフォールバックであり、互換性のために含まれています。Pythonの今後のリリースにはフォールバックが含まれないため、ビルドではツリー内で動作するためにpybuilddir.txtファイルを生成または保存する必要があります。このランドマークファイルは、Windows 3.11 から生成されており、他のプラットフォームでも以前から生成されています。(CVE-2026-12003)
Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。
ソリューション
現時点で既知の解決策はありません。参考資料
プラグインの詳細
深刻度: Medium
ID: 321379
ファイル名: unpatched_CVE_2026_12003.nasl
バージョン: 1.2
タイプ: Local
エージェント: unix
ファミリー: Misc.
公開日: 2026/6/17
更新日: 2026/6/20
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 8.4
CVSS v2
リスクファクター: Medium
基本値: 6.2
現状値: 5.3
ベクトル: CVSS2#AV:L/AC:H/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2026-12003
CVSS v3
リスクファクター: High
基本値: 7
現状値: 6.4
ベクトル: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:U/RC:C
CVSS v4
リスクファクター: Medium
Base Score: 5.3
Threat Score: 1.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
脆弱性情報
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:canonical:ubuntu_linux:cython, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, p-cpe:/a:debian:debian_linux:python3.14, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, p-cpe:/a:debian:debian_linux:python3.9, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, p-cpe:/a:debian:debian_linux:python3.13, cpe:/o:debian:debian_linux:13.0, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:debian:debian_linux:14.0, cpe:/o:debian:debian_linux:12.0, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, p-cpe:/a:debian:debian_linux:python3.11
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
エクスプロイトの容易さ: No known exploits are available
脆弱性公開日: 2026/6/16
参照情報
CVE: CVE-2026-12003