Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Python のビルドを(インストール済みファイルレイアウトではなく)ツリー内レイアウトから実行できるようにするために、VPATH 変数をビルド時に定義し、特定のランドマーク(具体的には Modules/setup.local)を検索するために使用されます。このランドマークが実行可能ファイル相対的な VPATH に対して見つかった場合、Python はそれがソースツリーで実行されていると想定し、異なるデフォルトの sys.path を生成します。このコードはリリースビルドに残るため、リリース対応のビルドをツリー内で構築できます。Windows では、ビルドが「PCbuild/」に書き込まれるため、VPATH の値は「..\..」というランドマークになります。\..\Modules\setup.local」です。このパスは Python のインストールディレクトリの外部にあり、異なる権限を持つ場合があります。これにより、権限が低いユーザーがランドマークおよび代替の「Lib」フォルダを作成する可能性があります。他のパスは、制限されたインストールによって検出されます。このような設定は、WindowsですべてのユーザーがOSドライブのルートディレクトリにフォルダーを作成できるため、すべてのユーザー(現在は置き換えられたEXEインストーラー)の従来のデフォルトのインストール場所で発生します。Windowsに関して推奨される軽減策は、レガシーインストーラーから移行し、新しい[Pythonインストールマネージャー](https://www.python.org/downloads/latest/pymanager/)を使用して現在のユーザーにインストールすることです。Python インストールディレクトリの 2 レベル上のディレクトリに同等の権限がある場合、インストールは影響を受けません(一般に、ユーザーごとのインストールは、他のユーザーによりまったく変更できないため、権限の昇格のリスクが排除されます。また、特権ユーザーによって直接変更されることがあるため、改ざんの可能性は無関係になります)。代替的な緩和策には、「Modules」ディレクトリへのアクセスを先制的に作成および制限することが含まれる場合があります。更新されたレガシーインストーラーを受け取るのは、 3.13 と 3.14 のみです。以前の修正はソースとしてのみ提供されます。Windows 以外のプラットフォームでは、VPATH をオーバーライドできますが、バイナリのビルドで通常は別個のディレクトリを使用しないため、インストールディレクトリの外にランドマーク参照がある可能性はほとんどありません。VPATH に関連するランドマーク検出は、より具体的なランドマーク(.\pybuilddir.txt)がない場合のフォールバックであり、互換性のために含まれています。Pythonの今後のリリースにはフォールバックが含まれないため、ビルドではツリー内で動作するためにpybuilddir.txtファイルを生成または保存する必要があります。このランドマークファイルは、Windows 3.11 から生成されており、他のプラットフォームでも以前から生成されています。(CVE-2026-12003)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-12003

medium Nessus プラグイン ID 321379

バージョン 1.6