AlmaLinux 9.2 [TuxCare] セキュリティ更新:python-unversioned-command / python3 / python3-debug / etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1773136115)

medium Nessus プラグイン ID 352288

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1773136115アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- base64 モジュールの b64decode()、standard_b64decode()、および urlsafe_b64decode() 関数にデータを渡す際に、文字 +/ は、altchars パラメーターの値に関係なく常に受け入れられます。これは、URL セーフアルファベットなどの代替 base64 アルファベットを確立するために通常使用されます。
この動作は、以前の base64 RFC で推奨されているものと一致しますが、新しい RFC では現在、指定された base64 アルファベット外の文字をドロップするか、エラーを提示することが推奨されています。古い挙動により、データの整合性の問題が生じる可能性があります。アプリケーションが代替の base64 アルファベット (+/ なし) を使用している場合にのみ、この動作は安全でない可能性があります。アプリケーションで altchars パラメーターまたは urlsafe_b64decode() 関数を使用しない場合、アプリケーションは代替の base64 アルファベットを使用しません。添付されたパッチは、base64-decode の動作がエラーを発生させません。これは挙動の変化であり、既存のプログラムが破損する可能性があるためです。代わりに、パッチが動作を非推奨にし、これは将来のバージョンの Python で新たに推奨される動作で置き換わります。ユーザーは、ユーザー制御の入力が期待している base64 アルファベットと一致することを検証するか、b64decode() 関数が代替文字の外側で + または / を受け入れた場合にアプリケーションが影響を受けないことを検証することで、緩和策を軽減することが推奨されます。
(CVE-2025-12781)

- plist ファイルをロードする際、plistlib モジュールは、ファイル自体が指定するサイズでデータを読み込みます。これは、悪意のあるファイルが OOM および DoS の問題を引き起こす可能性があります(CVE-2025-13837)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。