したがって、ALAS2023-2026-1963 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    configparser モジュールを使用して、復帰文字(\r)がある複数行のテキスト値を含む構成ファイルを書き込むとき、攻撃者が書き込まれた値をコントロールしている場合、結果のファイルに予期しないキーと値が注入される可能性があります。(CVE-2026-0864)

    「data」または「tar」フィルター付きの tarfile.extractall() は、ハードリンク自体よりも深い名前で保存されたシンボリックリンクをハードリンクが参照する、細工されたアーカイブによってバイパスされる可能性があります。抽出フォールバックでは、アーカイブされた場所でシンボリックリンクが検証されましたが、ハードリンクの浅いパスで再作成され、フィルターが含んでいると判断した相対ターゲットが宛先ディレクトリをエスケープするようにしました。これにより、悪意のある tar アーカイブが宛先外を指し示すシンボリックリンクを作成し、宛先外でのファイルの読み取りまたは書き込みが可能になります。これは、 CVE-2025-4330の不完全な修正でした。(CVE-2026-11940)

    ストリーミングモード(mode=r|)で開かれたファイルで tarfile モジュールを使用した場合、tarfile モジュールが EOF を適切に処理しなかったため、アーカイブの解析にかかる時間が急激に長くなります。(CVE-2026-11972)

    unicodedata.normalize() は、正規結合クラスの値が交互に結合される文字の長時間を含む、特別に細工された Unicode 入力を処理する際、過剰な CPU 時間を消費する可能性があります。これは、すべての正規化フォームに影響します。(CVE-2026-3276)

    bz2 です。BZ2Decompressor オブジェクトが展開エラーの後に再利用される可能性があります。アプリケーションが結果のOSErrorをキャッチし、同じデコンプレッサーで再試行した場合、細工された入力により、デコンプレッサーが無効な内部状態から再開し、スタックバッファへの領域外書き込みを実行する可能性があります。これにより、信頼できないデータを処理すると、プロセスがクラッシュする可能性があります。(CVE-2026-9669)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : python3、python3-devel、python3-idle (ALAS2023-2026-1963)

high Nessus プラグイン ID 328474

バージョン 1.1