2023 Amazon Linux:python3.12-pip、python3.12-pip-wheel(ALAS2023-2026-1840)

medium Nessus プラグイン ID 322089

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1840 のアドバイザリに記載されている脆弱性の影響を受けます。

Python のパッケージインストーラーである pip に欠陥が見つかりました。リモートの攻撃者がこの脆弱性を悪用して、被害者を騙して悪意のある Python ホイールをインストールさせる可能性があります。このホイールには、ディレクトリトラバーサルまたは絶対パスを使用する、特別に細工されたエントリポイント名が含まれています。これにより、pip が生成されたスクリプトラッパーを意図されたインストールディレクトリの外側に書き込み、任意のファイルの上書きを引き起こす可能性があります。これは、システムの整合性と可用性に深刻な影響を与える可能性があり、特定のシナリオでは任意のコード実行につながる可能性があります。(CVE-2026-8643)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update python3.12-pip --releasever 2023.12.20260622」または「dnf update --advisory ALAS2023-2026-1840 --releasever 2023.12.20260622」を実行してシステムを更新してください。