したがって、ALAS2023-2026-1929 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    「data」または「tar」フィルター付きの tarfile.extractall() は、ハードリンク自体よりも深い名前で保存されたシンボリックリンクをハードリンクが参照する、細工されたアーカイブによってバイパスされる可能性があります。抽出フォールバックでは、アーカイブされた場所でシンボリックリンクが検証されましたが、ハードリンクの浅いパスで再作成され、フィルターが含んでいると判断した相対ターゲットが宛先ディレクトリをエスケープするようにしました。これにより、悪意のある tar アーカイブが宛先外を指し示すシンボリックリンクを作成し、宛先外でのファイルの読み取りまたは書き込みが可能になります。これは、 CVE-2025-4330の不完全な修正でした。(CVE-2026-11940)

    unicodedata.normalize() は、正規結合クラスの値が交互に結合される文字の長時間を含む、特別に細工された Unicode 入力を処理する際、過剰な CPU 時間を消費する可能性があります。これは、すべての正規化フォームに影響します。(CVE-2026-3276)

    空の名前またはディレクトリのような名前を持つシンボリックリンクを含む細工されたリンクエントリを使用して、tarfile.data_filterがバイパスされ、意図された抽出ディレクトリの外に後続のアーカイブメンバーがリダイレクトされる可能性があります。これにより、悪意のある tar アーカイブが、抽出プロセスの権限範囲で、tarfile.extractall() に宛先ディレクトリ外のファイルを書き込ませる可能性があります。(CVE-2026-7774)

    Lib/ftplib.py の ftpcp() 関数は、修正されたときにCVE-2021-4189 更新されませんでした。makepasv() にパッチが適用され、サーバーが指定した PASV ホストアドレスが実際のピアアドレス(getpeername()[0])に置き換えられる一方で、ftpcp() は依然として parse227() を直接呼び出し、未加工の攻撃者がコントロール可能な IP アドレスとポートを target.sendport() に渡します。このパッチは CVE-2021-4189に関連しています。(CVE-2026-8328)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : python3.14、python3.14-devel、python3.14-freethreading (ALAS2023-2026-1929)

high Nessus プラグイン ID 327372

バージョン 1.1