したがって、ALAS2023-2026-1953 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    configparser モジュールを使用して、復帰文字(\r)がある複数行のテキスト値を含む構成ファイルを書き込むとき、攻撃者が書き込まれた値をコントロールしている場合、結果のファイルに予期しないキーと値が注入される可能性があります。(CVE-2026-0864)

    ストリーミングモード(mode=r|)で開かれたファイルで tarfile モジュールを使用した場合、tarfile モジュールが EOF を適切に処理しなかったため、アーカイブの解析にかかる時間が急激に長くなります。(CVE-2026-11972)

    unicodedata.normalize() は、正規結合クラスの値が交互に結合される文字の長時間を含む、特別に細工された Unicode 入力を処理する際、過剰な CPU 時間を消費する可能性があります。これは、すべての正規化フォームに影響します。(CVE-2026-3276)

    空の名前またはディレクトリのような名前を持つシンボリックリンクを含む細工されたリンクエントリを使用して、tarfile.data_filterがバイパスされ、意図された抽出ディレクトリの外に後続のアーカイブメンバーがリダイレクトされる可能性があります。これにより、悪意のある tar アーカイブが、抽出プロセスの権限範囲で、tarfile.extractall() に宛先ディレクトリ外のファイルを書き込ませる可能性があります。(CVE-2026-7774)

    bz2 です。BZ2Decompressor オブジェクトが展開エラーの後に再利用される可能性があります。アプリケーションが結果のOSErrorをキャッチし、同じデコンプレッサーで再試行した場合、細工された入力により、デコンプレッサーが無効な内部状態から再開し、スタックバッファへの領域外書き込みを実行する可能性があります。これにより、信頼できないデータを処理すると、プロセスがクラッシュする可能性があります。(CVE-2026-9669)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : python3.11、python3.11-devel、python3.11-idle (ALAS2023-2026-1953)

high Nessus プラグイン ID 328461

バージョン 1.1